原文標題：Amatera: How the prolific infostealer works and spreads

ESET 10 月 29 日介紹 Amatera 竊資程式的運作與散布模式。Amatera 是以 C++ 撰寫、主要針對 Windows 的資訊竊取惡意程式，研究人員最早於 2024 年觀察到。它以 Malware-as-a-Service（MaaS）方式販售，開發者維護程式、控制面板與支援基礎設施，付費使用者則自行選擇投放方式與受害目標。ESET 認為其程式碼與 ACR Stealer 高度相似，很可能屬重新命名的延續產品。

研究指出 Amatera 會擷取瀏覽器儲存的帳號密碼、Cookie、瀏覽歷史、表單資料與工作階段權杖，也可能搜尋 OneDrive、SharePoint 同步的敏感文件、開發環境機密與加密貨幣錢包資訊。這類竊資工具不只導致個人帳號接管與金融詐欺，也可能成為企業網路後續入侵的起點。ESET 引述過往地下販售資訊，2024 年底曾出現每月 199 美元的訂閱方案，並提供 Telegram 支援。

散布手法包含遭入侵網站、搜尋廣告、定向電子郵件、偽造文件、SVG 檔案及 ClickFix 假 CAPTCHA。ClickFix 常以瀏覽器錯誤或驗證失敗為藉口，要求使用者複製指令到系統中執行；實際上是讓使用者親手啟動惡意程式。ESET 也描述 AI-fix 假冒 AI 工具、CrashFix 假造瀏覽器當機、ConsentFix 誘騙 OAuth 授權等衍生手法。這些名稱代表不同社交工程模式，不宜全部視為 Amatera 專屬功能。

在 2026 年上半年拉丁美洲的 ESET 竊資程式偵測中，Amatera 排名高於 Formbook、Vidar、Lumma Stealer、SnakeStealer 與 Rhadamanthys。ClickFix 偵測在 2025 年上半年較前六個月增加超過 500%，下半年回落，2026 年上半年再度超過翻倍。這是 ESET 遙測與特定分類的趨勢，不代表全球受害者絕對人數。

發生了什麼事

ESET 研究 Amatera 竊資程式的 MaaS 模式、資料竊取能力與 ClickFix 等社交工程散布手法。

為什麼重要

竊取 Cookie 與登入權杖可能繞過僅更換密碼的防護，受害者還可能將企業雲端檔案及開發機密暴露給攻擊者。

影響哪些人

Windows 使用者、企業身分與端點防護團隊、雲端檔案管理者，以及需要防範假 CAPTCHA 與惡意廣告的組織。

已確認與未確認

已確認 ESET 研究觀察的功能與區域偵測排名；全球感染數、所有攻擊鏈是否都使用 Amatera，以及每個變種的確切能力均不可由此推論。