-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}
Para información más detallada del ciclo de la vulnerabilidad por favor revise su suscripción ante el CSIRT.
Nueva variante del ransomware Phobos denominado Duck
Publicado: 20/09/2022 | Importancia: Media
A través del monitoreó y la búsqueda de nuevas amenazas que puedan llegar afectar la infraestructura de los asociados el equipo de analistas del Csirt Financiero ha identificado una nueva variante del ransomware Phobos el cual ha sido reportado en ocasiones anteriores, esta ha sido observada y denominada como Duck esta amenaza se dirige a equipos con sistemas operativos Windows.
Nueva amenaza denominada ChromeLoader
Publicado: 19/09/2022 | Importancia: Media
Recientemente se ha identificado una campaña en la cual se está utilizando ChromeLoader, esta amenaza emplea extensiones maliciosas que se anidan a los navegadores y tiene como objetivo desplegar otras familias de malware como ransomware. Durante la investigación se identificó a un actor de amenaza responsable del loader, este grupo lleva como nombre DEV-0796.
Surge el ransomware Meow en la naturaleza
Publicado: 18/09/2022 | Importancia: Media
El ransomware es una de las amenazas que más impacta infraestructuras tecnológicas en la actualidad, esto se debe al beneficio económico que puede generar a los adversarios; así mismo surgen nuevos actores de amenaza en el ciberespacio como es el caso de Meow Corp, a quienes se les atribuye un nuevo ransomware denominado Meow.
Nueva variante de ransomware denominada Bisamware
Publicado: 18/09/2022 | Importancia: Media
Estas nuevas amenazas puedan empezar a ser más utilizadas gracias a sus capacidades que le permiten afectar la disponibilidad de su entidad ya que el cifrado de información entre la que se encuentran las bases de datos, puede provocar que algunos servicios internos y externos queden inaccesibles, ocasionando una indisponibilidad en su entidad.
Nueva actividad relacionada con el ransomware Magniber
Publicado: 17/09/2022 | Importancia: Media
El ransomware Magniber también conocido como My Decryptor surgió en 2017 cuando apuntaba a víctimas del continente asiático, desde ese entonces ha evolucionado acoplándose en la naturaleza para proliferar hasta la actualidad; esta amenaza se ha caracterizado por distribuirse por medio de la explotación de vulnerabilidades y sitios web maliciosos que ofrecen actualizaciones, en esa trazabilidad se ha visto en actualizaciones falsas de Windows, en la vulnerabilidad conocida como PrintNightMare y sitios donde se ofrecen actualizaciones de Microsoft Edge y Google Chrome.
Botnet Emotet es utilizada para distribuir cargas útiles de ransomware
Publicado: 17/09/2022 | Importancia: Media
Emotet fue inicialmente conocido por ser un troyano bancario, el cual es atribuido al grupo de ciberdelincuentes llamados Mummy Spider (también conocidos como TA542). Con el pasar del tiempo, esta familia de malware ha tomado relevancia en el ámbito del ciberespacio, afectando a organizaciones y entidades de alto nivel en todo el mundo; actualmente, este se ha convertido en una botnet que es utilizada para entregar cargas útiles de segunda etapa de diversos tipos de malware que tienen como objetivo, la recopilación de datos sensibles de infraestructuras tecnológicas.
Nueva actividad del troyano bancario Hydra
Publicado: 16/09/2022 | Importancia: Media
Las amenazas que han afectado exitosamente millones de dispositivos como es el caso de Hydra, tienden a proliferar en el tiempo; asimismo la forma en que los ciberdelincuentes buscaran otros métodos de distribución, aunado a lo anterior es posible que Hydra continue desplegándose en futuras campañas suplantando otras aplicaciones.
El troyano URSA está de vuelta
Publicado: 16/09/2022 | Importancia: Media
Recientemente, se identificó una nueva campaña en la cual estaba implicada una nueva versión del troyano URSA luego de dos años desde su publicación oficial, en estas nuevas actividades se ha observado que impacta a los usuarios por medio de un cargador sofisticado. Sus funciones principales son la recopilación de credenciales de acceso alojadas en los navegadores web y en programas utilizados para los servicios de FTP (Protocolo de transferencia de archivos); por otro lado, también suele realizar la superposición de un sitio web falso asociado a la entidad financiera de sus víctimas.
Nuevo troyano de acceso remoto denominado Shadowpad RAT
Publicado: 15/09/2022 | Importancia: Media
A través de la búsqueda e inteligencia de amenazas por parte del equipo de analistas del Csirt Financiero se identificó un nuevo troyano de acceso remoto conocido como ShadowPad, donde se ha observado que dicha amenaza está dirigida a entidades y organizaciones gubernamentales afectando a sistemas operativos Microsoft Windows.
OriginLogger, un nuevo keylogger que es considerado el sucesor de Agent Tesla
Publicado: 15/09/2022 | Importancia: Media
OriginLogger es el nombre de un nuevo registrador de pulsaciones de teclas que es usado por los ciberdelincuentes para la obtención de información sensible; este se ha catalogado como el sucesor de Agent Tesla. Dentro de la información capturada se identifican credenciales de acceso y/o data asociada a la identificación de las víctimas.
Nueva brecha de seguridad presentada en Microsoft Teams
Publicado: 15/09/2022 | Importancia: Alta
Recientemente se ha identificado una nueva falla presentada en la plataforma Microsoft Teams, la cual afecta a todos los sistemas operativos o equipos que tengan instalada la aplicación en el escritorio. Esta brecha de seguridad permite que un actor de amenaza pueda obtener información sensible como credenciales de los diferentes servicios que ofrece Microsoft 365.
RecordBreaker el nombre de la segunda versión de Raccoon Stealer
Publicado: 14/09/2022 | Importancia: Media
Raccoon Stealer fue visto por primera vez en 2019 y a su vez una de las amenazas más mencionadas por ser un stealer simple pero mudable que le permitió a muchos ciberdelincuentes perpetrar múltiples ataques, no obstante, en marzo de este año sus creadores anunciaron que se retirarían temporalmente a causa de miembros en su equipo, aunque hicieron mención de estar trabajando en una nueva versión de su malware; en ese orden de ideas recientemente se observó actividad asociada a Raccoon a su vez resurge en la naturaleza con el nombre RecordBreaker integrando nuevas funcionalidades.
Nuevo ransomware denominado Play
Publicado: 13/09/2022 | Importancia: Media
Dentro de las amenazas observadas a nivel global se encuentra el tipo ransomware que es muy utilizada por varios grupos de ciberdelincuentes, toda vez que permite cifrar información confidencial de manera eficaz y realizar algún tipo de extorsión exigiendo un monto económico a la víctima. En esta ocasión el equipo del Csirt Financiero identificó una nueva familia de este tipo, la cual es conocida como ransomware Play, donde se observó recientemente afectando países de América Latina.
Lazarus (APT) emplea un nuevo backdoor denominado ForestTiger en su operación
Publicado: 13/09/2022 | Importancia: Media
Lazarus es un grupo de ciberdelincuentes con bastante trayectoria en el ciberespacio, puesto que este APT cuenta con un arsenal de herramientas para perpetrar ataques cibernéticos a gran escala asociados a ciberespionaje y ciberguerra; en el ejercicio de realizar seguimiento a sus actividades se ha relacionado una campaña distribuida a través técnicas de ingeniería social como spearphishing, dentro de la cual envían una aplicación maliciosa, además de utilizar un nuevo backdoor denominado ForestTiger para realizar movimientos laterales.
Nueva campaña de distribución del troyano Lampion
Publicado: 12/09/2022 | Importancia: Media
En el ámbito del ciberespacio es frecuente observar las nuevas técnicas y tácticas de distribución utilizadas por los ciberdelincuentes con el objetivo de distribuir amenazas y llegar a impactar a organizaciones y entidades, por lo tanto, a través del monitoreo que realiza el equipo del Csirt Financiero fue identificado el troyano Lampion el cual está siendo distribuido por medio de un servicio legítimo conocido como weTransfer.
Actualización de artefactos empleados por NetSupport RAT
Publicado: 12/09/2022 | Importancia: Media
NetSupport Manager es una herramienta de acceso remoto, el cual está diseñado para que sus usuarios puedan acceder a sus equipos de TI de forma local o remota; es un software legítimo, sin embargo, es muy utilizada por ciberdelincuentes que hacen mal uso de este en sus campañas maliciosas y así sustraer información sensible alojada en la infraestructura tecnológica comprometida.
Familias de ransomware implementan nuevo método de cifrado de archivos
Publicado: 11/09/2022 | Importancia: Media
Recientemente se ha identificado un nuevo comportamiento atribuido al tipo de malware conocido en el ciberespacio como ransomware, donde los ciberdelincuentes implementan una táctica que le permite generar una mayor afectación al objetivo y en un intervalo de tiempo más corto, este método ha sido denominado cifrado intermitente.
Nuevos indicadores vinculados al troyano IcedID
Publicado: 11/09/2022 | Importancia: Media
IcedID es un troyano que representa una gran amenaza para la privacidad de los usuarios afectados, así como para la seguridad económica e informática. Tras infiltrarse en la infraestructura tecnológica, este troyano comienza a ejecutar diferentes tareas maliciosas que tienen como objetivo monitorear la actividad generada por la víctima en navegadores web, exfiltrar datos personales y manipular el sistema operativo.
PlugX un RAT Loader que prevalece en el tiempo
Publicado: 10/09/2022 | Importancia: Media
El ciberespacio es un ecosistema lleno de amenazas que ponen en riesgo los activos de una organización o de las personas debido a los constantes ataques cibernéticos orquestados por los ciberdelincuentes, dentro de ese flujo de acción suelen emplear herramientas modulares para controlar remotamente los equipos infectados.
Nueva actividad maliciosa del grupo cibercriminal conocido como Worok
Publicado: 10/09/2022 | Importancia: Media
En el ámbito de la ciberseguridad se han identificado varios grupos cibercriminales los cuales en su mayoría son financiados por gobiernos de muchos países que se suman a los constantes ataques cibernéticos para capturar información confidencial, afectar infraestructuras críticas de entidades y organizaciones a nivel mundial, teniendo en cuenta esto, el equipo de analistas del Csirt Financiero ha identificado nueva actividad maliciosa de un grupo cibercriminal conocido como Worok, el cual dirige sus ataques a sectores financieros, gubernamentales y de telecomunicaciones.
Aparece en la naturaleza un nuevo RAT dirigido al kernel Linux denominado Shikitega
Publicado: 09/09/2022 | Importancia: Media
El creciente número de amenazas que se ven en la naturaleza sigue siendo una constante durante los últimos meses, en este sentido se ha descubierto una nueva familia de malware denominada Shikitega la cual ha sido categorizada como un troyano de acceso remoto; esta amenaza se dirige a equipos y dispositivos que ejecutan sistemas Linux, entre estos están incluidos los que hacen parte de la categoría IoT, a su vez su operación se divide en varias etapas que ejecutan distintas cargas útiles, explotan algunas vulnerabilidades, implantan un minero y usan Mettle.
Nuevo troyano de acceso remoto denominado Magic Rat
Publicado: 09/09/2022 | Importancia: Media
Dentro de las amenazas más utilizadas por los ciberdelincuentes en los últimos meses, se observó que los troyanos de acceso remoto (RAT) son los más comunes e implementadas por los cibercriminales gracias a las capacidades que pueden llegar a otorgar, permitiendo la obtención de datos confidenciales de entidades y organizaciones; en esta ocasión el equipo de analistas del Csirt Financiero identificó un nuevo troyano de acceso remoto denominado Magic RAT, el cual es atribuido al grupo APT 38 más conocido como Lazarus.
El troyano bancario Ares resurge con nuevas TTP
Publicado: 08/09/2022 | Importancia: Media
Aunque el troyano bancario Ares no es una nueva amenaza en el ciberespacio, ha resurgido con nuevas técnicas, tácticas y procedimientos compiladas en su segunda versión lanzada a mediados del mes de agosto; su aparición en el panorama de amenazas radica de febrero de 2021 desde entonces los ciberdelincuentes lo han empleado para apuntar al sector financiero, asimismo se ha rastreado que esta nueva versión está siendo desplegada en México hacia entidades financieras.
Nuevo Framework denominado Bruteratel
Publicado: 07/09/2022 | Importancia: Media
Bruteratel es un framework que permite a los actores de amenaza simular un ciberataque contra una organización con el objetivo que los ciberdelincuentes puedan encontrar brechas de seguridad donde identifican vulnerabilidades para poder desencadenar un proceso de infección.
Nuevo troyano de acceso remoto denominado Venom RAT
Publicado: 06/09/2022 | Importancia: Media
Se identificó una familia denominada Venom RAT, como un Malware as a Service (MaaS, por sus siglas en inglés), es una herramienta que puede ser adquirida de forma legítima y por esta razón los ciberdelincuentes comenzaron a obtener dicho RAT con fines delictivos.
Panel de control denominado TeslaGun es utilizado por el grupo TA505
Publicado: 06/09/2022 | Importancia: Media
El grupo TA505 se encuentra activo desde 2014, desde entonces se ha enfocado en sectores minoristas y principalmente el financiero. En la mayoría de sus actividades maliciosas emplean un backdoor (puerta trasera) llamado ServHelper, el cual han estado actualizando con nuevas funcionalidades desde 2019, no obstante, recientemente se detectó que están usando un panel de control denominado TeslaGun para administrar la puerta trasera, que actúa como servidor de comando y control.
Nuevo skimmer de JavaScript empleado por el grupo de ciberdelincuentes Magecart
Publicado: 05/09/2022 | Importancia: Media
Recientemente se observó en la naturaleza un nuevo skimmer de JavaScript creado por el grupo de cibercriminales conocido como Magecart, quienes se dedican a vulnerar la seguridad de los sistemas de compras en línea con nuevos métodos y técnicas para capturar información sensible relacionado con datos financieros de las víctimas dentro de sitios web que empleen la plataforma Magento.
Nuevo Phishing-as-a-Service denominado EvilProxy
Publicado: 05/09/2022 | Importancia: Media
Recientemente, investigadores identificaron un nuevo phishing como servicio (Phishing-as-a-Service o PhaaS por sus siglas) denominado EvilProxy o Moloch, el cual fue anunciado en foros clandestinos de la Dark web. Esta amenaza permite a los ciberdelincuentes comprometer a usuarios con MFA (Autenticación de múltiples factores) permitido a mayor escala sin la necesidad de infectar servicios anteriores.
Código fuente del troyano acceso remoto CodeRAT expuesto en repositorios de GitHub
Publicado: 04/09/2022 | Importancia: Media
CodeRAT, es un troyano de acceso remoto (RAT) el cual está siendo utilizado por los ciberdelincuentes gracias a las grandes capacidades que ofrece esta amenaza; en esta ocasión se identificó que el código fuente de CodeRAT fue filtrado y expuesto en un repositorio de GitHub el cual permite que más ciberdelincuentes puedan adquirirlo permitiendo ejecutar el RAT ofreciendo al usuario remoto una amplia gama capacidades posteriores a la infección.
Nueva actividad maliciosa asociada al troyano bancario Sharkbot
Publicado: 04/09/2022 | Importancia: Media
En el ámbito de ciberseguridad, es muy frecuente presenciar campañas maliciosas en donde los ciberdelincuentes implementan programas maliciosos específicamente desarrollados para impactar un sector objetivo; un ejemplo claro de esto, son los troyanos bancarios, los cuales tienen como propósito recopilar información sensible de las victimas relacionadas con entidades financieras.