Informe Táctico-Técnico-Operativo: Campaña InstallFix / Amatera Stealer

1. Resumen Técnico

La campaña denominada «InstallFix» explota los flujos de trabajo de instalación basados en copiar y pegar comandos (curl-to-bash) para distribuir malware contra usuarios de Claude Code, la interfaz de línea de comandos de Anthropic. Los atacantes clonaron las páginas oficiales de instalación con precisión píxel por píxel y las distribuyeron mediante malvertising (resultados patrocinados en motores de búsqueda).

El payload principal es Amatera Stealer, una evolución del conocido ACR Stealer (AcridRain) comercializado como Malware-as-a-Service (MaaS) en foros cibercriminales rusoparlantes. Este infostealer implementa técnicas avanzadas de evasión como NTSockets directos, resolución dinámica de APIs, Heaven’s Gate (WoW64 syscalls), enmascaramiento CDN y esteganografía.

Adicionalmente, se han identificado dos vulnerabilidades que afectan al manejo de configuraciones de repositorio en Claude Code: CVE-2025-59536 (ejecución de código no autorizado vía hooks y MCP) y CVE-2026-21852 (robo de credenciales API por redirección de headers de autorización). Estas vulnerabilidades amplían significativamente la superficie de ataque cuando se combinan con la campaña de malvertising.

2. Cadena de Ataque (Kill Chain)

Fase 1

Reconocimiento y Preparación

Registro de dominios similares a Claude Code (typosquatting y dominios genéricos)
Clonación píxel-perfect de la página oficial de instalación de Claude Code
Despliegue de infraestructura en servicios legítimos: Cloudflare Pages, Squarespace, Tencent EdgeOne
Preparación de payloads y cadenas de ejecución ofuscadas

Fase 2

Acceso Inicial — Malvertising T1583.008 T1566

Campañas de anuncios patrocinados en motores de búsqueda principales
Términos de búsqueda objetivo: Claude Code install, Claude Code CLI, Claude Code setup
URLs truncadas en las vistas previas del buscador dificultan la detección visual por parte del usuario
Landing pages prácticamente indistinguibles de las páginas oficiales de Anthropic

Fase 3

Ejecución — curl-to-bash Malicioso T1059.004 T1204.002

Comandos de instalación modificados que apuntan al servidor del atacante en lugar del oficial
Cadena de procesos: cmd.exe → mshta.exe → scripts remotos → payloads
Descarga y ejecución de payloads adicionales con mecanismos de persistencia
Uso de mshta.exe para recuperar y ejecutar scripts HTA desde dominios controlados

Fase 4

Evasión de Defensas T1102

Abuso de infraestructura legítima: Cloudflare Pages (*.pages.dev), Squarespace, Tencent EdgeOne
Tráfico C2 mezclado con servicios legítimos, dificultando la detección basada en reputación
Ofuscación de comandos y empaquetamiento de payloads
Técnica Dead Drop Resolver (DDR) para resolver infraestructura C2 dinámicamente

Fase 5

Despliegue del Payload — Amatera Stealer T1555 T1539 T1071

Ejecución del infostealer en el sistema víctima con privilegios del usuario
Recolección masiva de datos sensibles: credenciales, cookies, tokens, carteras crypto
Empaquetado y cifrado de datos recolectados para exfiltración
Posibilidad de desplegar payloads secundarios según instrucciones del C2

Fase 6

Exfiltración y C2

Comunicación con servidor C2 vía NTSockets directos T1095, sin pasar por APIs de alto nivel
CDN Masking T1090: IPs hardcodeadas de CDNs legítimas para enmascarar tráfico C2
Exfiltración de datos cifrados al servidor del atacante
Capacidad de recibir actualizaciones y nuevas instrucciones en tiempo real

3. Análisis del Malware: Amatera Stealer

Perfil del Malware

Campo	Valor
Nombre	Amatera Stealer
Alias	AmateraStealer
Predecesor	ACR Stealer (AcridRain)
Tipo	Infostealer
Modelo	Malware-as-a-Service (MaaS)
Plataforma	Windows
Comercialización	Suscripción en foros cibercriminales rusoparlantes

Capacidades de Recolección

Credenciales de navegadores: Extracción de contraseñas almacenadas en navegadores basados en Chromium y Gecko (Firefox)
Cookies de sesión y tokens: Robo de cookies activas y tokens de autenticación (OAuth, JWT, API keys)
Carteras de criptomonedas: Detección y exfiltración de wallets y claves privadas
Datos de Steam y Telegram: Archivos de sesión y datos de configuración
Clientes FTP: Credenciales almacenadas en FileZilla, WinSCP y similares
Servicios de correo electrónico: Credenciales de clientes de correo locales
Información del sistema: Hardware, software instalado, configuración de red
Payloads secundarios: Capacidad de descarga y ejecución de módulos adicionales según instrucciones del C2

Técnicas de Evasión Avanzadas

Direct NTSockets para C2 T1095: Comunicación directa con el kernel sin pasar por APIs de alto nivel (Ws2_32.dll, wininet.dll), evitando hooks de seguridad
Dynamic API Resolution + WoW64 Syscalls T1106: Resolución dinámica de APIs en tiempo de ejecución y ejecución de código de 64 bits desde procesos de 32 bits (Heaven’s Gate)
CDN Masking T1090: IPs hardcodeadas de CDNs legítimas (Cloudflare, Akamai) para enmascarar el tráfico C2 real
Dead Drop Resolver (DDR): Uso de servicios legítimos (Steam, Telegram) para almacenar y resolver direcciones de infraestructura C2
Esteganografía T1001.002: Ocultación de datos exfiltrados y configuraciones dentro de archivos de imagen
Sandbox Detection T1497: Detección de entornos virtualizados, depuradores y sandboxes para evitar análisis automatizado

4. Tabla de TTPs — MITRE ATT&CK

Táctica	Técnica	ID MITRE	Descripción
Desarrollo de Recursos	Malvertising	T1583.008	Compra de anuncios patrocinados en buscadores para posicionar páginas maliciosas
Acceso Inicial	Phishing	T1566	Distribución de enlaces maliciosos a través de resultados de búsqueda patrocinados
Acceso Inicial	Malicious Copy and Paste	T1204.004	Explotación de flujos de instalación copy-paste con comandos curl\|bash modificados
Ejecución	Command and Scripting Interpreter	T1059	Uso de intérpretes de comandos para ejecutar payloads
	PowerShell	T1059.001	Ejecución de scripts PowerShell ofuscados para descarga de payloads
	Visual Basic	T1059.005	Scripts VBS/HTA ejecutados mediante mshta.exe
Evasión de Defensas	Obfuscated Files or Information	T1027	Ofuscación general de archivos y código malicioso
	Dynamic API Resolution	T1027.007	Resolución dinámica de APIs en tiempo de ejecución para evitar análisis estático
	Software Packing	T1027.002	Empaquetamiento de ejecutables para dificultar la ingeniería inversa
	Command Obfuscation	T1027.010	Ofuscación de comandos en línea de comandos
	Steganography	T1027.003	Ocultación de datos en archivos de imagen
	Embedded Payloads	T1027.009	Payloads embebidos dentro de archivos aparentemente legítimos
	Compression	T1027.015	Compresión de payloads para reducir tamaño y evitar firmas
	Deobfuscate/Decode Files	T1140	Decodificación de payloads en tiempo de ejecución
	Match Legitimate Name or Location	T1036.005	Uso de nombres de proceso y rutas que imitan software legítimo
	Virtualization/Sandbox Evasion	T1497	Detección de entornos virtualizados para evitar análisis
	User Activity Based Checks	T1497.002	Verificación de actividad real del usuario antes de ejecutarse
	SyncAppvPublishingServer	T1216.002	Abuso de binario firmado para ejecución de código indirecta
Evasión de Defensas (cont.)	Mutual Exclusion	T1480.002	Uso de mutex para garantizar instancia única y evitar análisis paralelo
Evasión de Defensas (cont.)	Hide Infrastructure	T1665	Ocultación de infraestructura C2 detrás de servicios legítimos
Acceso a Credenciales	Credentials from Web Browsers	T1555.003	Extracción de credenciales almacenadas en navegadores Chromium y Gecko
	Steal Web Session Cookie	T1539	Robo de cookies de sesión activas para secuestro de cuentas
	OS Credential Dumping	T1003	Volcado de credenciales del sistema operativo
Descubrimiento	System Information Discovery	T1082	Recolección de información del sistema: hardware, software, red
Recolección	Data from Local System	T1005	Recolección de archivos sensibles del sistema local
	Clipboard Data	T1115	Captura de datos del portapapeles
	Screen Capture	T1113	Capturas de pantalla del escritorio de la víctima
	Local Email Collection	T1114.001	Recolección de correos electrónicos almacenados localmente
	Archive Collected Data	T1560	Empaquetado de datos recolectados para exfiltración eficiente
Comando y Control	Web Protocols	T1071.001	Comunicación C2 sobre protocolos web estándar (HTTP/HTTPS)
	Ingress Tool Transfer	T1105	Descarga de herramientas y payloads adicionales desde el C2
	Encrypted Channel	T1573	Canal cifrado para comunicaciones C2
	Symmetric Cryptography	T1573.001	Cifrado simétrico para ofuscación de tráfico
	Asymmetric Cryptography	T1573.002	Cifrado asimétrico para intercambio inicial de claves
	Protocol Tunneling	T1572	Túneles de protocolo para evadir detección
	Web Service	T1102	Abuso de servicios web legítimos como infraestructura C2
	Data Obfuscation	T1001	Ofuscación de datos en tránsito
	Steganography (C2)	T1001.002	Esteganografía para ocultar datos en comunicaciones C2
	Standard Encoding	T1132.001	Codificación estándar (Base64) para datos en tránsito
	Data Encoding	T1132	Codificación personalizada de datos para evasión
	Native API	T1106	Uso de APIs nativas del SO para comunicación directa
Ejecución / Privilegios	Process Injection	T1055	Inyección de código en procesos legítimos
Ejecución / Privilegios	Valid Accounts	T1078	Uso de credenciales válidas robadas para acceso persistente
Impacto	Data Encrypted for Impact	T1486	Posible cifrado de datos como acción destructiva secundaria
	Resource Hijacking	T1496	Secuestro de recursos del sistema para fines del atacante
	Compute Hijacking	T1496.001	Uso no autorizado de recursos de cómputo (criptominería)
	Financial Theft	T1657	Robo financiero directo mediante credenciales bancarias y carteras crypto

5. Vulnerabilidades CVE

CVE-2025-59536 CRÍTICO

Producto:Claude Code (Anthropic)

Vector:Archivos de configuración de repositorio (Hooks y MCP)

Impacto:Ejecución de código no autorizado al abrir un proyecto malicioso

Los atacantes pueden manipular archivos de configuración a nivel de proyecto (archivos de hooks y MCP) para que, al clonar y abrir un repositorio malicioso con Claude Code, se ejecuten comandos automáticamente sin confirmación del usuario. Esta vulnerabilidad permite la ejecución remota de código arbitrario en el contexto del usuario que abre el proyecto.

CVE-2026-21852 CRÍTICO

Producto:Claude Code (Anthropic)

Vector:Redirección de headers de autorización

Impacto:Robo de credenciales API

Mediante la manipulación de configuraciones de repositorio, los atacantes redirigen el tráfico API autenticado (incluyendo headers de autorización completos con claves API) a un servidor controlado por el atacante. La exfiltración ocurre ANTES de que el usuario confirme la confianza del proyecto, lo que hace especialmente peligrosa esta vulnerabilidad al no requerir interacción alguna del usuario más allá del clonado del repositorio.

6. Indicadores de Compromiso (Resumen)

Dominios Maliciosos

nnnnnnnnnnnnnnnnnnnnn.pages.dev

claude.update-version.com

update-version.com

claude-code-macos.com

claude-code-docs-site.pages.dev

saramoftah.com/n8n/update

overplanteasiest.top

amaprox.icu

Direcciones IP

IP:45.94.47.224

IP:212.34.138.4

IP:91.98.229.246

IP:104.21.80.1

Hashes Representativos (SHA-256)

04c30011603048f69ad9ecf57ce580c1ebd20fb49a80b259e9628eaec79179a8

8d3634a77504cb0eee0f0f853bebaeb501a8147e104eb0f381a93b497272e34f

120316ecaf06b76a564ce42e11f7074c52df6d79b85d3526c5b4e9f362d2f1c2

05db76843f81795f9a736cb2609197d5f018978b33277f420fd17c166caddb93

08bf6ddf7d0313477a51787d82ca3b66c102a93fcabdf53c891aa1ed331ea4a9

0967e0e1f15ddfb9b3d7451832dd3a653177679b0b56a7c19aea8e5fd82bd420

096aabe166d4cec286d31042107c793431ce7ae75d208c7f7afbe822361ce329

0df602fe581b9f252c21da7c6efc8c7bf1b9c7e83029e4b64ee1d3de6c771544

127a367df685ce3b04eed27ce58e148fba7c1b2273e280c531c0b3a2955dd2e6

133d56d17ba934898306f4ad442ee679f9e161e0237c968ff37f2abc487d3f0d

Nota: Los hashes anteriores representan una muestra reducida. Consultar el documento STIX/TAXII — IOCs adjunto para la lista completa de 220 indicadores de compromiso en formato estandarizado.

7. Reglas de Detección y Hunting

Regla Sigma — Cadena de Ejecución mshta.exe

title: InstallFix Campaign - Suspicious mshta.exe Execution Chain
status: experimental
description: Detects cmd.exe spawning mshta.exe to retrieve remote scripts (InstallFix campaign pattern)
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\cmd.exe'
    Image|endswith: '\mshta.exe'
    CommandLine|contains:
      - 'http'
      - 'pages.dev'
      - 'update-version'
  condition: selection
level: high
tags:
  - attack.execution
  - attack.t1059.004
  - attack.t1204.002
falsepositives:
  - Legitimate use of mshta.exe to open HTA applications (rare in modern environments)
date: 2026/03/12

Regla Sigma — Descarga Sospechosa curl/wget

title: InstallFix Campaign - Suspicious curl/wget to Non-Official Domain
status: experimental
description: Detects curl or wget commands targeting domains associated with InstallFix campaign
logsource:
  category: process_creation
  product: windows
detection:
  selection_tool:
    Image|endswith:
      - '\curl.exe'
      - '\wget.exe'
  selection_domain:
    CommandLine|contains:
      - 'update-version.com'
      - 'claude-code-macos.com'
      - 'pages.dev'
      - 'overplanteasiest.top'
      - 'amaprox.icu'
  condition: selection_tool and selection_domain
level: high
tags:
  - attack.execution
  - attack.t1059.004
date: 2026/03/12

Consultas DNS para Hunting

Monitorizar consultas DNS hacia los siguientes patrones:

*update-version.com — Dominio principal de la campaña
*pages.dev con referencia a claude — Abuso de Cloudflare Pages
claude-code-macos.com — Dominio de typosquatting específico
overplanteasiest.top — Dominio C2 identificado
amaprox.icu — Dominio asociado a Amatera Stealer

Consulta Splunk de ejemplo:

index=dns sourcetype=dns
| search (query="*update-version.com" OR query="*claude-code*pages.dev"
  OR query="claude-code-macos.com" OR query="overplanteasiest.top"
  OR query="amaprox.icu")
| stats count by src_ip, query, answer
| sort -count

IOCs de Red para Bloqueo

Bloquear/alertar conexiones a: 45.94.47.224, 212.34.138.4, 91.98.229.246
Monitorizar conexiones NTSocket directas que bypasean APIs estándar de red
Detectar tráfico HTTP/S hacia IPs de CDN con patrones de comunicación anómalos (tamaño de payload, frecuencia, user-agent)
Inspeccionar tráfico DNS sobre HTTPS (DoH) hacia dominios no autorizados

Hunting en EDR

Cadena de procesos: cmd.exe → mshta.exe → powershell.exe / wscript.exe
Comandos sospechosos: curl o wget apuntando a dominios no oficiales de Anthropic
Patrones WoW64: Transiciones WoW64 syscall indicativas de la técnica Heaven’s Gate (procesos 32-bit realizando llamadas al sistema de 64-bit)
Acceso a archivos sensibles: Lectura masiva de archivos de credenciales de navegadores (Login Data, Cookies, Web Data)
Mutex específicos: Búsqueda de mutex asociados a Amatera Stealer en procesos en ejecución
Detección de esteganografía: Descargas de imágenes seguidas de operaciones de memoria inusuales

8. Recomendaciones Operativas

Bloquear inmediatamente los dominios e IPs listados en la sección de IOCs en firewalls, proxies y sistemas DNS corporativos. Priorizar el bloqueo a nivel DNS para cobertura máxima.
Implementar las reglas Sigma proporcionadas en el SIEM corporativo. Validar la generación de alertas con las cadenas de ejecución documentadas (cmd.exe → mshta.exe).
Ejecutar hunting retrospectivo en logs DNS de los últimos 90 días para los dominios identificados. Correlacionar con logs de proxy y firewall para identificar sistemas potencialmente comprometidos.
Verificar estaciones de desarrollo para la presencia de IOCs. Ejecutar búsquedas de los hashes SHA-256 proporcionados en el EDR y comparar con la lista completa del documento STIX/TAXII.
Revisar configuraciones de repositorios clonados recientemente, prestando especial atención a archivos en directorios .claude/ y .mcp/. Buscar configuraciones de hooks y MCP no autorizadas.
Actualizar Claude Code a la última versión parcheada que mitiga CVE-2025-59536 y CVE-2026-21852. Verificar que todos los desarrolladores utilizan la versión actualizada.
Implementar políticas de ejecución restringida para mshta.exe mediante AppLocker, WDAC o políticas de grupo. Considerar el bloqueo total de mshta.exe en estaciones de desarrollo donde no sea necesario.
Monitorizar tráfico hacia IPs de CDN con patrones anómalos. Implementar reglas de detección para comunicaciones C2 enmascaradas como tráfico CDN legítimo (frecuencia, tamaño, user-agent).
Formar a desarrolladores sobre los riesgos de ejecutar comandos curl|bash desde fuentes no verificadas. Establecer procedimientos de verificación de URLs antes de ejecutar comandos de instalación.
Compartir IOCs con equipos de seguridad de la cadena de suministro y socios tecnológicos. Coordinar la respuesta con equipos de seguridad de Anthropic y proveedores de CDN afectados.

9. Clasificación de Fuentes (Código Admiralty / NATO)

La fiabilidad de las fuentes se evalúa según el sistema de clasificación Admiralty (NATO), donde la fiabilidad del emisor se clasifica de A (completamente fiable) a F (no evaluable) y la credibilidad de la información de 1 (confirmada) a 6 (no evaluable).

Fuente	Fiabilidad	Credibilidad	Código
IBM X-Force	A — Completamente fiable	1 — Confirmada	A1
Proofpoint Threat Insight	A — Completamente fiable	2 — Probablemente cierta	A2
FortiGuard Labs	A — Completamente fiable	2 — Probablemente cierta	A2
eSecurity Planet	B — Normalmente fiable	2 — Probablemente cierta	B2
SecurityOnline / Daily CyberSecurity	B — Normalmente fiable	2 — Probablemente cierta	B2
CybersecurityNews	B — Normalmente fiable	2 — Probablemente cierta	B2
Feedly AI	B — Normalmente fiable	2 — Probablemente cierta	B2
VirusTotal	B — Normalmente fiable	1 — Confirmada	B1
CVE Details / NVD	A — Completamente fiable	1 — Confirmada	A1

10. Referencias

IBM X-Force — InstallFix Report
https://exchange.xforce.ibmcloud.com/report/details/guid:f52c99c24f704788b8036f1ead587991
SecurityOnline — The Vibe-Coding Trap: Fake Claude Code Installers
https://securityonline.info/the-vibe-coding-trap-fake-claude-code-installers-unleash-amatera-malware-via-search-ads/
eSecurity Planet — Fake Claude Code Install Pages Spread Infostealer Malware
https://www.esecurityplanet.com/artificial-intelligence/fake-claude-code-install-pages-spread-infostealer-malware/
CybersecurityNews — Claude Code Vulnerabilities
https://cybersecuritynews.com/claude-code-vulnerabilities/
Feedly Threat Intelligence — InstallFix / Amatera / ACR Stealer tracking
VirusTotal — Análisis de muestras
CVE Details / NVD — CVE-2025-59536, CVE-2026-21852
Proofpoint — Amatera Stealer: Rebranded ACR Stealer analysis
FortiGuard Labs — SVG Phishing / Amatera Stealer campaign