Una nueva ofensiva internacional contra el cibercrimen ha conseguido debilitar dos de las infraestructuras de malware más activas de los últimos años. La conocida como Operación Endgame ha permitido intervenir los servidores utilizados por Amadey y Stealc, dos plataformas de malware como servicio (MaaS) ampliamente empleadas por grupos criminales para infectar equipos y sustraer información sensible.
La actuación ha contado con la participación de investigadores de ESET, junto con Microsoft, Europol y diversas fuerzas de seguridad internacionales, además de compañías especializadas en inteligencia de amenazas.
Uno de los datos más llamativos del análisis es la posición de España dentro del mapa mundial de infecciones detectadas por Amadey. Según la telemetría recopilada por ESET, el país se sitúa entre los cinco con mayor número de detecciones, junto a India, Turquía, Egipto y México.
En el caso de Stealc, la mayor actividad se concentró en Estados Unidos, Polonia e Italia, aunque su distribución también ha sido global.
El objetivo principal de la operación consistió en inutilizar los servidores de mando y control (C&C) que utilizaban ambas amenazas para comunicarse con los equipos infectados.
Para ello, ESET aportó años de trabajo de investigación, incluyendo indicadores técnicos, claves de cifrado, identificadores de campañas, información sobre servidores comprometidos y miles de muestras analizadas automáticamente para facilitar la identificación de la infraestructura empleada por los atacantes.
Toda esta inteligencia permitió a las fuerzas de seguridad localizar y actuar con mayor rapidez sobre los sistemas utilizados por los operadores del malware.
Amadey y Stealc representan el modelo de negocio conocido como Malware-as-a-Service (MaaS), una modalidad que permite a delincuentes sin grandes conocimientos técnicos alquilar herramientas listas para lanzar campañas maliciosas.
Amadey funciona principalmente como un cargador de malware (loader), capaz de instalar otras amenazas en los equipos comprometidos y añadir funciones de acceso remoto o robo de información.
Stealc, por su parte, está especializado en el robo de datos. Su objetivo son las credenciales almacenadas en navegadores, clientes de correo electrónico, archivos de criptomonedas, cookies, plataformas de videojuegos y otra información de valor económico.
La investigación revela que ambas amenazas se distribuían mediante diferentes técnicas de ingeniería social.
Entre los métodos más frecuentes destacan las falsas actualizaciones de programas, instaladores de software pirateado y otros cargadores de malware utilizados para iniciar la infección.
Una vez comprometido el dispositivo, los delincuentes obtenían acceso a información personal y corporativa que posteriormente podía utilizarse para fraudes, extorsiones o nuevos ataques.
Aunque la desarticulación de esta infraestructura supone un importante revés para los operadores de Amadey y Stealc, los expertos advierten de que el ecosistema del malware como servicio continúa creciendo y adaptándose rápidamente.
Desde ESET aseguran que seguirán monitorizando ambas familias de malware para detectar posibles intentos de reconstruir su infraestructura y anticiparse a futuras campañas, en un contexto donde la colaboración internacional entre empresas tecnológicas y fuerzas de seguridad se ha convertido en una de las herramientas más eficaces para combatir el cibercrimen organizado.
Rincón del CISO
28 Julio 2026
Podcast de Cyberlideria MGZN.
Todos los jueves, a partir de las 22:00, estará disponible en CyberLideria MGZN una nueva entrevista, donde un prestigioso CISO colaborador charlará con una personalidad inspiradora, importante, y líder empresarial, tanto del ámbito privado como público.
Manténgase informado sobre la ciberseguridad, tecnología, las tendencias y las noticias que afectan a los líderes de TI.
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
