ESET participa en la Operación Endgame para desmantelar Amadey y Stealc

Hace un año, los investigadores de ESET Research participaban en dos operaciones de gran envergadura que lograron desarticular algunas de las operaciones cibercriminales más activas del momento, Lumma Stealer y Danabot. Ahora, el equipo vuelve a colaborar con socios privados y fuerzas de seguridad, pero esta vez el objetivo es la botnet Amadey y el infostealer Stealc, ambos ofrecidos bajo el modelo de malware como servicio (MaaS). La Operación Endgame, coordinada por Microsoft Digital Crimes Unit (DCU), BitSight, Lumen, Mitsui Bussan Secure Directions (MBSD) y otros socios, se dirigió contra toda la infraestructura de red conocida utilizada por los afiliados de Amadey y Stealc para paralizar sus operaciones. ESET contribuyó al esfuerzo aportando análisis técnicos, información estadística, servidores de comando y control (C&C) conocidos, claves de cifrado, identificadores de campañas y compilaciones, y otras inteligencia de amenazas recopilada durante el seguimiento a largo plazo de ambas familias de malware.

Una operación global contra dos ecosistemas MaaS

La Operación Endgame no es un evento aislado, sino la culminación de meses de trabajo de inteligencia y coordinación entre múltiples actores. El objetivo era claro: desmantelar la infraestructura que sostenía a Amadey y Stealc, dos de las amenazas más persistentes en el panorama del malware-as-a-service. Según los datos compartidos por ESET, la operación afectó aproximadamente a 50 dominios y cerca de 200 servidores C&C activos basados en IP asociados con ambas familias. Este impacto no habría sido posible sin el trabajo previo de monitorización automatizada y análisis técnico que permitió identificar los puntos débiles de estos ecosistemas.

¿Qué es Amadey y por qué es una amenaza significativa?

Amadey es un cargador de malware modular que se anuncia en foros de la darknet desde octubre de 2018 bajo el nombre de usuario InCrease. Su función principal es distribuir malware adicional a los sistemas comprometidos, aunque también ofrece módulos para la exfiltración de datos y acceso remoto. El servicio se vende bajo un modelo de pago por recompilación: los afiliados adquieren una licencia por 600 dólares en Bitcoin y pagan 50 dólares adicionales cada vez que necesitan generar una nueva compilación, por ejemplo, al rotar a un nuevo servidor C&C. Este modelo, estable desde las primeras versiones, indica una base de clientes consolidada y un flujo de ingresos predecible para sus operadores.

ESET ha rastreado Amadey durante más de tres años. Su telemetría muestra una distribución global sin un enfoque regional específico, aunque las tasas de detección más altas se observaron en India, Turquía, Egipto, México y España. La botnet ha recibido actualizaciones constantes, con dos hitos principales: en agosto de 2020 (v1.99.5) se reescribió por completo el código base, y en octubre de 2024 (v5.03) se añadieron capacidades como hVNC con conexión inversa, soporte para instaladores MSI silenciosos, activación de RDP, ejecución de cmd.exe con privilegios SYSTEM y soporte integrado para payloads cifrados. La mayoría de las actualizaciones menores tenían un propósito implícito pero constante: evadir las detecciones de los antivirus a medida que aparecían.

Stealc: el infostealer que compite en el mercado MaaS

Frente a Amadey, Stealc representa a un infostealer clásico. Apareció en un foro de la darknet en febrero de 2023, anunciado por el actor de amenazas conocido como plymouth. Su objetivo es robar credenciales, cookies, carteras de criptomonedas, extensiones de navegador y archivos cuyos nombres coincidan con patrones definidos por el afiliado. Se vende mediante suscripción mensual: 300 dólares al mes, 700 por tres meses o 1.000 por seis meses. Un detalle relevante es que, a diferencia de Amadey, Stealc ofrece generación ilimitada de compilaciones como parte de la suscripción, lo que reduce el coste operativo de rotar infraestructura C&C y facilita a los afiliados la generación de nuevas muestras cuando lo necesitan.

En marzo de 2025, Stealc recibió una importante actualización arquitectónica con la versión 2, que introdujo cambios significativos en el protocolo de red y la estructura de configuración. Desde entonces, esta versión domina en la telemetría de ESET. Para junio de 2026 ya había alcanzado la versión 2.22.1. La distribución de Stealc también es global, con las tasas de detección más altas en Estados Unidos, Polonia e Italia.

La contribución técnica de ESET a la Operación Endgame

ESET Research ha seguido de cerca tanto a Amadey como a Stealc durante los últimos tres años. Para esta operación de desmantelamiento, la compañía compartió estadísticas que cubren desde el cuarto trimestre de 2025 hasta el primer semestre de 2026, junto con indicadores técnicos y datos de configuración extraídos de muestras de malware procesadas. Los sistemas automatizados de ESET diseccionaron muestras de Amadey y Stealc, identificando los campos más relevantes para el seguimiento a gran escala: servidores C&C, identificadores de compilación, claves de cifrado, rutas URL, identificadores de campaña y otros valores incrustados utilizados por las familias de malware durante la comunicación con la infraestructura controlada por los atacantes.

Un enfoque principal del trabajo fue encontrar métodos fiables para manejar el gran volumen de muestras procesadas y agruparlas en clústeres. Esto resultó especialmente útil porque tanto Amadey como Stealc se venden como servicios. Las muestras de malware son distribuidas y operadas por afiliados que a menudo gestionan su propia infraestructura, generan o solicitan sus propias compilaciones y orquestan sus propias campañas. Identificar clústeres de actividad en estos ecosistemas permite localizar objetivos de alta prioridad para operaciones de desarticulación como esta.

Compartir análisis técnicos, información estadística e inteligencia de amenazas —como listas de servidores C&C, identificadores de afiliados y claves de cifrado— permite a las fuerzas de seguridad identificar, priorizar y actuar contra la infraestructura con un alto grado de confianza. Los IoCs también ayudan a distinguir entre clústeres individuales, infraestructura compartida y botnets de alto impacto cuya desarticulación tiene probablemente el mayor efecto sobre el panorama general de amenazas. En última instancia, la operación afectó a unos 50 dominios y cerca de 200 IPs activas utilizadas como servidores C&C para Amadey o Stealc.

El modelo de negocio MaaS: diferencias clave entre Amadey y Stealc

Amadey y Stealc comparten el modelo de malware como servicio, pero sus estructuras operativas difieren significativamente. En ambos casos, los afiliados reciben un panel de administración autoalojado que debe desplegarse en su propia infraestructura de servidores. Esto exige un ciero nivel de habiliad técnica de los afiliados y les otorga control direco sobre los datos de las víctimas y la distribuión de cargas. Este modelo difiere de otros ecosistemas MaaS. Por ejemplo, los afiliados de Danabot pueden elegir alquilar infraestructura C&C como servicio, mientas que Lumma Stealer utilizaba una red de exfiltración totalmente gestioada por sus operadores. En el caso de Amadey y Stealc, los afiliados son responsable de desplegar y operar su propia infraestructura, lo que hace que los esfuerzos de desarticulación sean más difíles, y por eso el enfoque de agrupación en clústeres fue esencia.

Amadey utiliza un modelo de pago por recompilación. Los afiliados compran una licencia y luego pagan un cargo adicional cada vez que necesitan generar una nueva compilación, por ejemplo, al rotar a un nuevo servidor C&C. Los operadores de Amadey no proporionan a los afiliados una herramienta de compilación; en su lugar, las muestras se compilan bajo pedido para cada afiliado. En contraste, Stealc adopta un enfoque más favorable al afiliado, ofreciendo generación ilimitada de compilaciones como parte de su suscripción. Esto reduce el coste operativo de rotar infraestructura C&C y facilita a los afiliados la generación de nuevas muestras según sea necesaio.

Cómo se comunica Amadey con sus servidores C&C

Amadey se comunica con su servidor C&C a través de HTTP mediante solicitudes POST. La comunicación sigue un ciclo de vida de tres etapas:

• Baliza inicial: el bot envía una solicitud HTTP POST mínima con el parámetro st=s al servidor C&C. El servidor resoponde con un interalo de sueño, por ejemplo 10, instruyendo al bot que espera 10 mintos entre conseutivas revisiones.
• Registro: el bot transmite información del sistema cifrada con RC4 codificada como una cadena plana clave-valor. Estos datos incluyen la versión del sistema operativo, nombre de usuario, nombre del PC, producto antivirus instalado, privilegios administrativos, el valor sd y otra información del host. La clave RC4 nunca se transmite a través de la red. Según la telemetría de ESET, no se observó ningún servidor que sirviera tareas para más de una clave RC4 a la vez, lo que sugiere que cada muestá de comunicarse con un servidor C&C que ya conoce y espera esa clave RC4 exacta. El servidor resoponde con una lista de tareas.
• Asignación de tareas: las tareas se entegan como cadenas de comando estructuradas delimitadas por etiquetas <task> y </task> con comandos individales separados por caracteres #. Cada tarea codifica un tipo de comando, como descargar y ejecutar un EXE, iniciar VNC o ejecutar un plugin de robo. Las tareas también incluyen parámetros como un indicador de escalada de privilegios, directorio destino y URL del payload.

Cada tarea tiene su propia lógica de procesamiento, que va desde comandos simples de descarga y ejecución hasta la ejecución más compleja de componentes hVNC o proxy. El funcionamiento interno ha sido documentado en informes técnicos previos.

El valor sd y las claves RC4: identificadores críticos para el agrupamento

Cada muestra de Amadey contiene al menos una URL de servidor C&C hardcodeada, con la configuración que soporta hasta tres entradas. Las muestras también incrustan una clave RC4 utilizada para cifrar las comunicaciones con el servidor C&C. El análisis de ESET mostró que la clave RC4 extraída de cada muestra sirve como un identificador de clúster fiable, permitiendo agrupar muestras en botnets individuales.

Un segundo valor hardcodeado, denominado internamente sd, es una cadena hexadecimal aleatoria de seis caracteres que coincide con el patrón [0-9a-f]{6}. Se transmite durante el handshake inicial del C&C y probablemente identifica una compilación específica dentro del despliegue de un afiliado. Aunque a veces se le llama ID de campaña o ID de Amadey, el modelo de negocio de pago por recompilación sugiere que representa más precisamente un identificador de compilación.

Cada muestra también lleva un número de versión. El análisis se centra en la versión v5.x, que ha sido la variante dominante observada en la telemetría de ESET desde principios de 2025.

El agrupamiento de Amadey: 53 clústeres identificados

Cuando se rastrea malware MaaS, un desafío clave es encontrar una forma fiable de agrupar muestras pertenecientes al mismo actor de amenazas. Comprender el modelo de negocio y la distribución de la infraestructura de red es esencial para una desarticulación exitosa, porque permite a los defensores y a las fuerzas de seguridad identificar los puntos críticos donde la acción tendrá el mayor impacto.

Las muestras de Amadey contienen tres valores de configuración hardcodeados clave: URLs C&C, claves RC4 utilizadas para las comunicaciones C&C, y el valor sd transmitido durante el handshake inicial. Durante el seguimiento, se observó que las URLs C&C de Amadey siguen un patrón consistente: http(s)?://<server>/<path>/index.php. Además, la misma parte <path> de la URL se utilizaba con diferentes servidores C&C. Como este valor parece ser una cadena aleatoria, verlo vinculado a múltiples servidores C&C a lo largo del tiempo parecía un indicador sólido de que los servidores C&C son operados como parte del mismo clúster.

Utilizando los valores de la configuración de las muestras, combinados con la comprensión de su propósito, ESET empleó modelos de grafos para obtener información sobre la estructura del ecosistema de Amadey. Los resultados mostraron claramente que no hay infraestructura compartida, sino varias sub-botnets más pequeñas con una claramente dominante. Las conclusiones principales fueron:

• Se identificaron un total de 53 clústeres únicos dentro del ecosistema de Amadey.
• Cada valor sd está vinculado a exactamente una clave RC4.
• Las claves RC4 son probablemente un identificador útil de afiliado, ya que las recompilaciones preservan la clave mientas cambian el valor sd.
• La parte <path> de la URL C&C se reutiliza ocasionalmente al rotar servidores C&C, sirviendo como evidencia fiable de que dichos servidores C&C pertenecen al mismo clúster.

El clúster más grande de Amadey: el 34% de todas las muestras

Un clúster destaca como el más grande, contribuyendo con casi el 34% de todas las muestras de Amadey procesadas. Este clúster fue también el único que permaneció activo durante todo el período de tiempo analizado, según la línea temporal de ESET. Además, dominó en el número medio de payloads distribuidos a las víctimas por ejecuión: las muestras de Amadey pertenecientes a este clúster entragaron, de media, alrededor de 14 payloads a cada víctima simultáneamente.

El rango y la diversidad de familias de malware distribuidas fue amplio, desde infostealers y RATs hasta malware empaquetado con complejos protectores de códig. ESET obtuvo evidencia de que, en muchas ocasionis, múltiples muestras de Lumma Stealer se entregaron a una sola víctima, cada una atribuida a un afiliado difernte. Esto reslta en que múltiples afiliados de Lumma Stealer terminan con los mismos datos robados. Esta observación lleva a concluir que los actores de amenazas que controlan este clúster más grande probablemente ejecutan su propio modelo de pago por instalción (PPI), monetizando aún más sus bots.

Cómo funciona Stealc: comunicaciones C&C y estructura de clúster

Stealc se comunica con su servidor C&C a través de HTTP usando objetos JSON cifrados con RC4. La solicitud inicial enviada al C&C contiene tres valores: un identifcador de compilación (build), una huella digital de la máquina comprometida (hwid) y el tipo de solicitid (create). La huella digital se deriva del número de serie del volumen del sistema y se formatea como una cadena UUIDv4.

El servidor C&C responde con un objeto JSON complejo que define qué características debe ejecutar Stealc. Junto con eso, la respuesta contene un valor access_token generado aleatoriamente que actúa como clave de sesión y debe ser utilizado en todas las solicitudes posteriores; de lo contrario, son rechazadas por el servidor. Además de las definiciones complejas de objetivos, el objeto JSON también define si se debe tomar una captura de pantalla, autodestruirse cuando termne, o descargar y ejecutar un payload adicional después.

Cada respuesta del servidor también contene un par clave-valor generado aleatoriamente al principio. Según la investigación de Zscaler, esto evita las firmas de detección estáticas sobre el tráfico cifrado con RC4, incluso cuando se usa la misma clave de cifrado repetidamente. Después del registro inicial, Stealc utiliza tres tipos de operación adicionales: upload_file para exfiltrar datos recopilados, loader para obtener y ejecutar un payload de seguimiento, y done para señalizar la finalización.

El agrupamiento de Stealc: 73 clústeres desde marzo de 2025

Al igual que con Amadey, ESET aplicó modelos de grafos a los valores extraídos de las configuraciones de Stealc. El resultado fue un gráfico que muestra que Stealc está efectivamente fragmentado en muchos clústeres pequeños. Cada clúster se centra en un número reducido de servidores C&C (a menudo solo uno) y típicamente está vinculado a solo unos pocos IDs de compilación o rutas URL del C&C. Desarticular dicha infraestructura es por tanto una tarea desafiante debido a la falta de un punto débil. En total, se identificaron 73 clústeres distintos operando Stealc desde marzo de 2025.

Las versiones actuales de Stealc incrustan dos claves RC4 distintas por muestra: una para descifrar cadenas ofuscadas en tiempo de ejecución, y otra para cifrar las comunicaciones de red con el C&C. Ademas delas dos claves RC4, se ha extraido el identifcador de compilación de las muestras de Stealc. Este valor respresenta una campaña individal de Stealc y, a diferencia de otras cadenas, no está protegido en el binario. El valor es importante porque se transmite como parte del handshake del C&C. La dirección del servidor C&C y la ruta URL utilizada para las comunicaciones se almacenan entre las cadenas cifradas con RC4 y se han extraído como parte del oleoducto de desempaquetado de configuración automatizado de ESET.

¿Qué hace diferente a Stealc en el ecosistema MaaS?

A diferencia de Lumma Stealer, los operadores de Stealc no ofrecen a sus afiliados infraestructura compartida. Cada afiliado es resposable de desplegar y operar su propio panel de administración en su propia infraestructura de servidor. Esto exige que los afiliados tengan un cierto nivel de habilidad técnica, pero también les otorga control directo sobre los datos de las víctimas y la distribución de cargas. Stealc no depende de un método de distribución único y estandarizado; cada afiliado es responsable de sus propios mecanismos de entrega. Sin embargo, similar a Amadey, la telemetría de ESET indica que ciertos vectores destacan consistentemente, particularmente los instaladores de software trojanizados y los cargadores de malware establecidos, como el propio Amadey.

ESET ha observado que, en muchas ocasiones, el clúster más grande de Amadey entregaba múltiples muestras de Lumma Stealer a una sola víctima, cada una atribuida a un afiliado diferente. Esto resulta en que múltiples afiliados de Lumma Stealer terminan con los mismos datos robados, lo que sugiere que los actores de amenazas que controlan este gran clúster probablemente ejecutan su propio modelo de pago por instalación, monetizando aún más sus bots.

Implicaciones estratégicas y futuras de la Operación Endgame

La Operación Endgame representa un hito en la lucha contra el malware como servicio. Al apuntar a la infraestructura misma que utilizan los afiliados, en lugar de solo a las muestras individuales, se logra un impacto más duradero y profundo. Sin embargo, la naturaleza fragmentada de estos ecosistemas, especialmente en el caso de Stealc, hace que la desarticulación completa sea un desafío. ESET continuará monitoreando ambas familias y rastreará cualquier intento de reconstruir la infraestructura operativa después de esta desarticulación.

El éxito de la operación dependió en gran medida de la colaboración entre múltiples actores: desde empresas de seguridad como la propia ESET, que aportaron inteligencia técnica y datos de telemetrÍa, hasta unidades de delitos digitales como Microsoft DCU y socios como BitSight, Lumen y MBSD. La combinación de análsis técnico profund, modealdo de grafos para agrupar activides, y la compartición de indicadores de compromiso (IoC) permió a las fuersas de segurida identifcar y priorizar los objetivos con un alto grado de confianza.

Para los profisionales de segurida en hispanoamérica y España, esta operaición subraya la importancia de la inteligencia de amenazas compartida y la monitorización automatizada a largo plazo. Las organizaciones deben estar preparadas para enfrentar no solo las familias de malware individuales, sino los ecosistemas que las sostienen. La capacidad de ESET para rastrear y agrupar actividad durante años, combinada con asociaciones público-privadas, demuestra que la desarticulación de infraestructuras criminales es posible cuando hay cooperación y persistencia.

La Operación Endgame no es el final; es un recordatorio de que los operadores de MaaS se adaptan rápidamente. La vigilancia continua y la colaboración global serán esenciales para mantenerse un paso adelante. La comunidad de seguridad en español tiene ahora un caso de estudio valioso sobre cómo la inteligencia de amenazas, aplicada metódicamente, puede traducirse en acciones concretas que desmantelen las operaciones cibercriminales.

Indicadores de compromiso (IoC) y recursos adicionales

ESET ha publicado una lista compehensiva de indicadores de compromiso (IoCs) y muestras en su repositorio de GitHUB. A contnuación se incluyen algunos de los más relevates, organzados por categoría.

Archivos (SHA-1)

Red (IP y dominios)

Mapa de técnicas MITRE ATT&CK

La siguiente tabla, construida usando la versión 19 del marco MITRE ATT&CK, resume las técnicas empleadas por Amadey y Stealc a lo largo de su ciclo de vida.