-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}
Para información más detallada por favor revise su suscripción ante el CSIRT.
Nueva campaña TRUST#GRAFT utiliza JavaScript malicioso para instalar una backdoor en WordPress
Publicado: 25/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada a TRUST#GRAFT, la cual emplea código malicioso desarrollado en JavaScript para aprovechar sesiones administrativas autenticadas en WordPress y facilitar la instalación de una backdoor basada en PHP.
Campaña K0t Compromete Dispositivos Perimetrales Y Expone Credenciales De Organizaciones Empresariales
Publicado: 24/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó actividad asociada con la campaña k0t, dirigida contra dispositivos perimetrales y servicios de acceso remoto empresariales, incluyendo soluciones de Fortinet y Palo Alto Networks. La operación busca obtener credenciales, mantener acceso a las redes comprometidas y facilitar la extracción de información mediante herramientas de administración remota y componentes de comando y control.
Nuevo backdoor denominado MythicRatatoskr
Publicado: 24/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó un nuevo backdoor denominado MythicRatatoskr dirigido a sistemas Windows y desarrollado en el lenguaje de programación Go, que proporciona a los ciberdelincuentes acceso remoto a los equipos comprometidos.
Nueva campaña de Overlord RAT emplea VBScript ofuscado para comprometer sistemas Windows
Publicado: 24/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada a Overlord RAT un troyano de acceso remoto que utiliza diferentes mecanismos de ejecución, persistencia y evasión para comprometer sistemas operativos Windows.
SiriusQT RAT: troyano de acceso remoto con capacidades de control oculto y captura de información
Publicado: 23/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva actividad maliciosa que distribuye SiriusQT, un troyano de acceso remoto diseñado para sistemas Windows que reúne distintas funcionalidades para controlar equipos comprometidos y obtener información de sus usuarios.
Safepay Intensifica Sus Operaciones De Ransomware Contra Organizaciones De Infraestructura Financiera
Publicado: 22/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó actividad asociada al grupo de ransomware SafePay, dirigida contra organizaciones de infraestructura crítica y financiera, mediante operaciones orientadas al cifrado de información y la doble extorsión.
Safepay Intensifica Sus Operaciones De Ransomware Contra Organizaciones De Infraestructura Financiera
Publicado: 21/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó actividad asociada al grupo de ransomware SafePay, dirigida contra organizaciones de infraestructura crítica y financiera, mediante operaciones orientadas al cifrado de información y la doble extorsión.
Vulnerabilidades críticas de PHP exponen servidores a ejecución remota de código
Publicado: 21/10/2026 | Importancia: Alta
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se complementa la información previamente escalada relacionada con las vulnerabilidades críticas CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell, las cuales pueden permitir la ejecución remota de código no autenticada en servidores que procesan solicitudes web mediante PHP. El equipo de PHP publicó actualizaciones de seguridad para corregir ambas vulnerabilidades y estableció medidas temporales para reducir la exposición en aquellos entornos que no puedan ser actualizados de manera inmediata, recomendando como acción principal la actualización a las versiones corregidas.
- Explotación de vulnerabilidades
- Solicitudes HTTP manipuladas
- Ejecución remota de código (RCE)
- Corrupción de memoria
- Agotamiento de memoria
- Estado global obsoleto
- Denegación de servicio
- PHP2Shell
- CVE-2026-109618
- CVE-2026-109619
- Servidores web
- Aplicaciones web
- PHP
- PHP-FPM
- Apache mod_php
- php-cgi
- FrankenPHP
- LiteSpeed
The Gentlemen opera con infraestructura de Ransomware compartida
Publicado: 21/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó información relacionada con una infraestructura operativa utilizada por afiliados asociados con INC Ransomware y The Gentlemen, orientada al compromiso de organizaciones mediante explotación de sistemas perimetrales, acceso remoto, recolección de credenciales, movimiento lateral y actividades de extorsión. Los actores de amenaza utilizan herramientas propias para reconocimiento, comunicación C2, movimiento lateral dentro de la red, evasión de defensas y exfiltración de información.
INC RANSOM Intensifica Actividad De Ransomware Contra Organizaciones Del Sector Financiero
Publicado: 20/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó actividad asociada al grupo de ransomware INC Ransom, dirigida contra una organización del sector financiero en Costa Rica. La actividad fue vinculada con la inclusión de COOPECAJA en el sitio de filtraciones operado por el grupo, donde se atribuye un compromiso de la organización. Este tipo de actividad se encuentra relacionado con esquemas de doble extorsión, mediante los cuales los ciberdelincuentes buscan afectar la disponibilidad de los sistemas y ejercer presión sobre las organizaciones mediante la amenaza de publicación de información obtenida durante el compromiso.
Ataques contra ZIMBRA comprometen servidores de correos
Publicado: 20/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó información sobre una serie de ataques dirigidos a servidores Zimbra Collaboration Suite, mediante la explotación de la vulnerabilidad CVE-2026-73570. Esta falla permite a los actores de amenaza ejecutar comandos de manera remota, sin autenticación ni interacción del usuario, en servidores que tienen instalado el paquete opcional zimbra-snmp y habilitadas las notificaciones SNMP.
ROMULUS: Nueva plataforma ClickFix utilizada para distribuir LegionLoader contra sistemas Windows
Publicado: 19/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una nueva plataforma de distribución denominada ROMULUS, utilizada en campañas basadas en la técnica ClickFix para inducir a usuarios de sistemas Windows a ejecutar comandos maliciosos. La plataforma emplea páginas fraudulentas que simulan procesos legítimos y direccionan al usuario hacia la ejecución de comandos mediante PowerShell, iniciando posteriormente una cadena de infección que puede involucrar instaladores MSI manipulados, técnicas de DLL sideloading y archivos comprimidos cifrados.
Nueva variante de SectopRAT se oculta en archivos de software legítimo para comprometer sistemas Windows
Publicado: 18/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó nueva actividad asociada a SectopRAT, un troyano de acceso remoto desarrollado sobre .NET, diseñado para sistemas Windows que permite a los ciberdelincuentes controlar equipos comprometidos y recopilar información almacenada en ellos.
YuanKong RAT permite el control remoto de dispositivos Android
Publicado: 18/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó información sobre YuanKong RAT, un troyano de acceso remoto dirigido a dispositivos Android que permite a los actores de amenaza obtener control sobre los dispositivos comprometidos y recopilar información sensible. Esta amenaza opera mediante una infraestructura C2 compartida entre distintos operadores, quienes utilizan versiones del malware configuradas con identificadores propios para administrar los dispositivos afectados.
Nueva actividad asociada al troyano de acceso remoto KGB RAT
Publicado: 17/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó nueva actividad asociada a KGB RAT, un troyano de acceso remoto desarrollado para Windows que se comercializa en foros clandestinos desde finales de 2025.
SYSGORAT Compromete Servidores Linux De Organizaciones Mediante La Campaña Cl-Unk-1211
Publicado: 17/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó la campaña CL-UNK-1211, dirigida contra organizaciones gubernamentales e infraestructura afiliada al Estado mediante el compromiso de servidores Linux. La campaña emplea herramientas como SysGoRAT, web shells y reverse shells, además de scripts generados o asistidos mediante inteligencia artificial, para facilitar el acceso remoto, la ejecución de comandos y la recopilación de información en los sistemas comprometidos.
IRON MAN SYSTEM impulsa operaciones de Phishing a gran escala
Publicado: 15/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó información relacionada con Iron Man System, un kit comercial de Phishing-as-a-Service (PhaaS) diseñado para facilitar el despliegue de páginas fraudulentas orientadas a la captura de información ingresada por las víctimas. La infraestructura asociada permite a ciberdelincuentes utilizar plantillas preconfiguradas que suplantan servicios postales y de mensajería, autoridades tributarias, entidades bancarias, empresas de telecomunicaciones, comercios y programas de fidelización.
Campaña de falsas herramientas de IA distribuye Stealer y RAT mediante InstallFix
Publicado: 15/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una campaña que utiliza sitios web falsos de herramientas de inteligencia artificial como Claude, ChatGPT, Copilot, Gemini y Ollama para distribuir stealers, RAT y loaders mediante técnicas de InstallFix.
HIRODU compromete dispositivos Android mediante aplicaciones señuelo y falsas actualizaciones
Publicado: 14/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó Hirudo, un troyano bancario de acceso remoto dirigido a dispositivos Android que combina funciones orientadas al fraude financiero con mecanismos de control sobre el dispositivo comprometido. La amenaza afecta principalmente entornos móviles y mantiene un enfoque relevante sobre aplicaciones bancarias y servicios financieros.
AvisLoader: nuevo loader para Windows utiliza ClickFix y comunicación P2P cifrada para mantener el acceso remoto
Publicado: 14/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó AvisLoader, un loader para sistemas Windows, identificado en un servidor de preparación expuesto que también contenía una página fraudulenta de distribución, herramientas auxiliares y un panel de administración denominado AvisLoader Command Center.
VULCANRAT207.A se establece acceso remoto en sistemas Windows mediante una cadena distribuida por WhatsApp
Publicado: 13/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una cadena de malware dirigida a sistemas Windows y distribuida mediante WhatsApp a través de un archivo ZIP que contiene un supuesto documento financiero. La actividad culmina con la ejecución de VulcanRAT207.A, un troyano de acceso remoto que opera como carga final dentro de una secuencia compuesta por múltiples etapas.
Nueva campaña ClickFix distribuye LUNEXSTEALER mediante sitios web comprometidos y falsas verificaciones de Cloudflare
Publicado: 12/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña que comprometió más de 100 sitios web legítimos e incorporó código JavaScript malicioso en sus páginas. La actividad se asocia con el clúster UAC-0277 y utiliza la técnica ClickFix para distribuir LUNEXSTEALER, un stealer de 64 bits para Windows con capacidades de capturar de información y ejecución remota de tareas.
Nueva campaña de Casbaneiro utiliza múltiples etapas de infección y comunicaciones C2 para comprometer sistemas Windows
Publicado: 12/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero se observó una campaña asociada a a Casbaneiro, un troyano bancario que incorpora mecanismos de evasión, ejecución por etapas y una infraestructura de servidores distribuidos para dificultar su identificación.
Vulnerabilidad crítica en Anydesk para Linux podría permitir ejecución remota de código con privilegios de root.
Publicado: 11/10/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado una vulnerabilidad crítica en AnyDesk para Linux, denominada AnyPwn, la cual podría ser explotada para ejecutar código de forma remota con privilegios elevados sin requerir autenticación ni interacción por parte del usuario. Esta falla afecta principalmente entornos Linux que utilizan versiones vulnerables del software de acceso remoto y permite a los ciberdelincuentes comprometer sistemas mediante el envío de paquetes especialmente manipulados.
Nuevo stealer dirigido a sistemas Windows denominado Warden Stealer
Publicado: 10/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó un nuevo stealer denominado Warden Stealer, desarrollado en Rust y diseñado para recopilar información sensible de equipos Windows. La amenaza se comercializa como servicio y permite configurar los tipos de información que se recopilan según los objetivos de cada operador.
Nueva actividad maliciosa relacionada con Agent Tesla
Publicado: 10/10/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado información relacionada con Agent Tesla, un troyano de acceso remoto (RAT) basado en .NET que opera bajo el modelo Malware-as-a-Service (MaaS) y está diseñado para capturar y exfiltrar información sensible de equipos Windows.
Nueva actividad maliciosa relacionada con Formbook
Publicado: 09/10/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado información relacionada con Formbook, un stealer activo desde 2016 que opera bajo el modelo de Malware-as-a-Service (MaaS). Esta amenaza se distribuye principalmente mediante campañas de phishing y tiene como objetivo capturar información sensible de los equipos comprometidos.
Azazel Compromete Entornos Ci/Cd Y Exfiltra Información Para Gentlemen Ransomware
Publicado: 06/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero se observó una campaña asociada a un actor de habla rusa identificado como Azazel, vinculado como afiliado al grupo de ransomware Gentlemen.
MALFEX: Campaña De Supply Chain En Npm Distribuye Overlord Rat
Publicado: 06/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó actividad asociada a MALFEX, campaña de Supply Chain que utiliza paquetes comprometidos en npm para distribuir Overlord RAT, empleando scripts de instalación, mecanismos de persistencia y técnicas de inyección de procesos para facilitar la ejecución de la amenaza en sistemas Windows.
Nuevo backdoor denominado ClingSTUN dirigido a sistemas Linux
Publicado: 05/10/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó un nuevo backdoor denominado ClingSTUN, desarrollado para sistemas Linux que puede afectar dispositivos IoT expuestos directamente a Internet.