-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}
Para información más detallada del ciclo de la vulnerabilidad por favor revise su suscripción ante el CSIRT.
Nuevas capacidades identificadas en Bumblebee
Publicado: 04/09/2022 | Importancia: Media
Bumblebee es un backdoor que desde su creación ha adquirido mucha popularidad entre los ciberdelincuentes debido a sus amplias capacidades, en esta nueva variante presenta alta similitud con BookWorm.
Repositorio abierto permite que ciberdelincuentes adquieran una nueva versión del kit de herramientas conocido como Burntcigar
Publicado: 03/09/2022 | Importancia: Media
Recientemente se ha conocido un repositorio abierto que permite descargar un kit de herramientas que tiene la capacidad de deshabilitar las soluciones de seguridad en las infraestructuras tecnológicas, este conjunto de archivos es conocidos como Burntcigar, muy popular por facilitar la entrada de los atacantes al sistema de los equipos.
Prynt Stealer implementa puertas traseras adicionales
Publicado: 02/09/2022 | Importancia: Media
El activo más importante para una organización hoy en día es su información, partiendo de esa perspectiva los ciberdelincuentes tienen como principal objetivo capturar esos registros que representan una potencial recompensa económica; en la naturaleza circulan varias ciberamenazas asociadas a diversas familias de stealer entre ellos el ya conocido Prynt Stealer, respecto a este se ha descubierto que sus desarrolladores implantan puertas traseras (backdoors) en sus constructores, esto con el propósito de exfiltrar una copia de la data capturada de las víctimas obtenida en campañas desplegadas previamente empleando esta familia de malware a través de un canal de Telegram.
Nueva actividad maliciosa del troyano bancario Ursnif
Publicado: 02/09/2022 | Importancia: Media
Ursnif es un troyano bancario muy utilizado por los ciberdelincuentes, dirigido al sector financiero con el objetivo de capturar información y credenciales bancarias principalmente de los sistemas operativos Windows, aunque el equipo de analistas del Csirt financiero ha reportado esta amenaza en múltiples ocasiones, es relevante comunicar que se identificaron nuevos indicadores de compromiso (IOC), los cuales representan nuevas cargas útiles que están siendo distribuidas y pueden afectar entidades de América Latina.
Un nuevo troyano bancario denominado Zanubis visto en campañas dirigidas a bancos de Latinoamérica
Publicado: 01/09/2022 | Importancia: Media
Los actores de amenaza no cesan de generar nuevas familias de malware en la naturaleza, recientemente se rastreó una campaña dirigida al sector financiero de Perú; este ataque fue perpetuado con un nuevo troyano bancario nombrado Zanubis por su clave de descifrado, por otra parte se descubrió que se basa en la explotación de funciones de accesibilidad automatizada del sistema, no obstante continúa en constante desarrollo ya que las muestras vistas en dicha campaña no parecen ser versiones finales, asimismo es evidente que los ciberdelincuentes crearán nuevas campañas hacia bancos de Latinoamérica.
Se identifican nuevos indicadores de compromiso de Nanocore RAT
Publicado: 01/09/2022 | Importancia: Media
Nanocore RAT fue identificado por primera vez en el año 2013, y aunque el equipo de analistas del Csirt financiero lo ha reportado en ocasiones anteriores hay que tener en cuenta que en el ámbito del ciberespacio los actores detrás de estas amenazas mantienen constantes actualizaciones de técnicas y tácticas con los buscan generar un impactó en la seguridad de la información de las entidades y organizaciones.
Nuevo stealer denominado Erbium
Publicado: 01/09/2022 | Importancia: Media
En el ecosistema de ciberseguridad es muy conocido el termino stealer, el cual es un tipo de malware donde muchas veces es implementado como una técnica para amplificar el rango de afectación de los actores de amenaza. Este programa malicioso se destaca por tener la característica de capturar información sensible almacenada en el equipo comprometido, para luego ser exfiltrada hacia un servidor de comando y control (C2); esta data obtenida, es utilizada por los ciberdelincuentes para realizar actos delictivos como extorsión, fraude bancario, transacciones ilícitas y fuga de datos en foros de la Deep y Dark web.
Nueva versión del rat Asbit emerge con actualizaciones en sus TTP
Publicado: 31/08/2022 | Importancia: Media
Los actores de amenaza de origen chino han desarrollado distintas familias de malware a lo largo de estos años algunas más notables que otras, entre estas apareció en el ciberespacio Asbit un RAT que ha estado evolucionando desde ese entonces; se caracteriza por emplear técnicas de evasión sobre los equipos infectados, como DNS sobre HTTPS (DoH) para superar los filtros DNS instaurados en las infraestructuras tecnológicas de sus objetivos.
Nueva campaña maliciosa relacionada al troyano Agent tesla
Publicado: 30/08/2022 | Importancia: Media
Agent Tesla, es un troyano el cual ha sido reportado anteriormente por el equipo de analistas del Csirt Financiero, manteniendo el mismo modus operandi los ciberdelincuentes detrás de esta amenaza están realizando constantes campañas y actualizaciones de sus artefactos con el objetivó de generar una infección e impactos más globales en entidades y organizaciones a nivel mundial.
Nuevos indicadores de compromiso asociados al stealer StormKitty
Publicado: 30/08/2022 | Importancia: Media
StormKitty es un Stealer que se conoce por realizar integración con bots de Telegram con la tarea de notificar a los ciberdelincuentes todo lo relacionado con los equipos infectados, esto lo realiza al publicar toda la data obtenida en los canales de mensajería como Discord o Telegram de los actores de esta amenaza. Su codigo fuente se puede encontrar en múltiples repositorios, ya sean de entidades reconocidas o no, por lo tanto, cualquier persona tiene acceso a este y puede modificarlo para crear un nuevo binario de StormKitty.
Nuevo ransomware denominado Agenda
Publicado: 29/08/2022 | Importancia: Media
El negocio más prolífico en el ecosistema de amenazas en la actualidad es el aumento constante de nuevas familia de tipo ransomware, de ahí que los actores de amenaza se enfoquen en la creación de nuevas variantes o generen actualizaciones constantes de los que están latentes en el ciberespacio; durante el transcurso de esta semana apareció en la naturaleza, un nuevo ransomware denominado Agenda el cual está siendo distribuido en países de Asia y África con el objetivo de afectar infraestructuras críticas principalmente del sector salud y educación.
Nueva campaña asociada a Remcos RAT
Publicado: 28/08/2022 | Importancia: Media
De forma reciente se ha detectado una nueva campaña de distribución de Remcos, troyano de acceso remoto que le permite al atacante tomar el control de los equipos infectados, tomar capturas de pantalla, recopilar información asociada a credenciales de acceso, registrar pulsaciones de teclas (keylogger) y enviar toda la data a su comando y control.
Nueva campaña del troyano bancario Guildma
Publicado: 28/08/2022 | Importancia: Media
Los troyanos bancarios suelen ser efímeros en el panorama de amenazas no obstante los que cuentan con actualizaciones periódicas, técnicas de ejecución y ataque novedosas suelen prevalecer en el ciberespacio de allí se desprende una amenaza que ha sido prolífica durante los últimos años, se trata de Guildma; recientemente se ha detectado una nueva campaña desplegada en países de Latinoamérica principalmente Brasil y Chile que se está distribuyendo por medio de correos de tipo phishing.
Nueva variante de HavanaCrypt suplanta a actualización de Google
Publicado: 27/08/2022 | Importancia: Media
En esta nueva actividad, se ha evidenciado una nueva variante del ransomware denominado HavanaCrypt el cual suplanta a una actualización de Google Chrome con el objetivo de obtener acceso, evadir las herramientas antimalware de los equipos comprometidos y cifrar sus archivos; esta amenaza contiene técnicas sofisticadas de anti-análisis y emplea funciones criptográficas para operar.
Nuevo ciberataque de ransomware afecta a entidad gubernamental en América Latina
Publicado: 27/08/2022 | Importancia: Media
En el transcurso del año, se han evidenciado múltiples ataques cibernéticos, los cuales han tenido como objetivo impactar infraestructuras tecnológicas de diversas entidades gubernamentales en América Latina; donde fueron afectadas a tal nivel que, los países han declarado su situación como alerta roja debido a la alta filtración de información sensible que fue publicada en foros de la Deep y Dark web.
Nuevo ransomware denominado Moisha dirigido a múltiples organizaciones
Publicado: 26/08/2022 | Importancia: Media
De forma reciente, se ha detectado una nueva variante de ransomware que fue denominada como Moisha, los ciberdelincuentes detrás de esta amenaza están dirigiendo sus esfuerzos a comprometer múltiples organizaciones alrededor del mundo y evitan afectar a usuarios individuales. Este ransomware está diseñado con la tarea de cifrar archivos alojados en las infraestructuras tecnológicas, eliminar las instantáneas de volumen y exigir un pago por el rescate de la información comprometida.
Nueva actividad maliciosa relacionada al ransomware BlueSky
Publicado: 26/08/2022 | Importancia: Media
Se ha identificado nueva actividad relacionada al ransomware BlueSky, el cual ha realizado nuevas actividades maliciosas con nuevas características, donde destaca la capacidad de efectuar movimientos laterales a través de SMB.
Nueva variante de ransomware denominada Bleachgap
Publicado: 26/08/2022 | Importancia: Media
En el ciberespacio hay una constante evolución por parte de la gran variedad de amenazas que se suelen desarrollar los actores malintencionados, es común ver que implementen nuevas técnicas para lograr afectar de manera crítica organizaciones objetivo, en ese orden de ideas se ha rastreado un stealer conocido en la naturaleza como Bleachgap descubierto en 2021, sin embargo los ciberdelincuentes han desarrollado nuevas capacidades en su carga útil convirtiéndolo en una nueva variedad de ransomware.
A través de sitios web de descarga de software son distribuidas familias de malware tipo stealer
Publicado: 25/08/2022 | Importancia: Media
Es evidente que en el ámbito del ciberespacio los actores de amenaza mantienen en constantes actualizaciones de nuevas técnicas y tácticas con las que intentan impactar entidades y organizaciones mediante nuevos métodos de distribución para que llegar afectar y generar ataques elaborados contra la infraestructura de las entidades; el equipo de analistas del Csirt identifico una nueva campaña de distribución por medio de sitios web de descarga de software donde se está implantando Redline Stealer y RecordBreaker Stealer.
Nuevo clipper denominado IBAN
Publicado: 25/08/2022 | Importancia: Media
Clipper es un tipo de malware y/o una técnica implementada por los actores de amenaza, muy conocido en el ciberespacio por sus capacidades de afectar un sistema o usuario, este destaca por tener la particularidad de capturar información sensible o modificar la data a través del portapapeles; este entra en acción cuando la víctima hace uso de la función copiar y pegar del equipo, donde reemplaza los datos de la persona con los del ciberdelincuente para llevar a cabo actos delictivos como fraude financiero y transacciones ilícitas.
Nueva variante de ransomware denominada Solidbit
Publicado: 24/08/2022 | Importancia: Media
Solidbit, identificado por primera vez en julio del presente año distribuido bajo la modalidad de Ransomware como Servicio (RaaS), con el objetivo de cifrar datos y a través de esta capacidad poder exigir un rescate a cambio de una clave para el descifrado donde la victima tendría que realizar el pago de un monto económico para obtener dicha clave; teniendo en cuenta la importancia de la información comprometida muchas organizaciones acceden al pago de esta extorsión.
Actualizaciones implementadas en el stealer XCSSET dirigido a usuarios MacOS
Publicado: 23/08/2022 | Importancia: Media
El malware desarrollado para sistemas MacOS existe en la naturaleza en menor cantidad comparada con Windows, sin embargo, los actores de amenazas también tienen como objetivo los usuarios de este S.O; basado en lo anterior se ha visto anteriormente en la naturaleza un stealer denominado XCSSET que ha afectado organizaciones e individuos, no obstante se han rastreado nuevas actualizaciones, evidenciando que ha implementado algunos cambios que pretenden solventar la obsolescencia de versiones anteriores de Python que no serán compatibles con las nuevas versiones de MacOS como la más reciente distribución Monterey.
Nuevos artefactos asociados al RAT AveMaria
Publicado: 23/08/2022 | Importancia: Media
AveMaria es un RAT modular con capacidades avanzadas, las cuales le permiten exfiltrar múltiple información de los equipos infectados, cabe resaltar que también es conocido como WARZONE RAT y que además esta amenaza está dirigida a diversos sectores, donde encontramos el ámbito financiero.
Troyano bancario Astaroth dirigido a Latinoamérica
Publicado: 22/08/2022 | Importancia: Media
El troyano bancario Astaroth fue identificado por primera vez en el año 2017 dirigido a organizaciones de Latinoamérica, principalmente en Brasil donde fue observado impactando una entidad de dicho país, este troyano está escrito en lenguaje de programación Delphi, cuenta con capacidades de captura de datos bancarios y afecta a sistemas operativos Windows.
Nueva variante de RAT denominada Escanor es distribuida a través de documentos de Microsoft Office
Publicado: 22/08/2022 | Importancia: Media
En enero del presente año, salió a la venta en la Dark web y Telegram un nuevo RAT denominado Escanor, esta amenaza es dirigido a dispositivos móviles y equipos de cómputo, bajo el sistema Android y Microsoft Windows respectivamente, entregan un módulo HVNC (Módulo de Control Remoto) y el generador de exploits con el cual generan documentos de Microsoft Office o PDF en el cual es incluido el código malicioso.
Dtrack, backdoor utilizado por grupos APT
Publicado: 21/08/2022 | Importancia: Media
Dtrack es una puerta trasera (backdoor), con la cual se puede realizar inyección de diferentes amenazas entre los que se encuentra malware de tipo ransomware, herramientas de control remoto entre otras, donde se ha identificado que el grupo APT denominado Lazarus patrocinados por el estado de Corea del Norte, continúan desplegando campañas maliciosas en varios países, donde en esta ocasión se observaron varios ataques a una corporación de Energía Nuclear de India.
Nuevos IOC del loader SocGholish reportados de una campaña en curso
Publicado: 21/08/2022 | Importancia: Media
Las amenazas de acceso inicial son ampliamente utilizadas en el ciberespacio por los ciberdelincuentes para instaurar otras familias de malware que complementan la operación de cada campaña desplegada de estos actores malintencionados; por lo anterior durante el mes de agosto se observó nueva actividad relacionada con el Loader SocGholish, el cual aprovecha las descargas ocultas disfrazadas de actualizaciones de software especialmente diseñadas para sistemas operativos Microsoft Windows.
Nueva campaña maliciosa distribuye AsyncRAT como archivos sln
Publicado: 21/08/2022 | Importancia: Media
Si bien AsyncRAT fue desarrollado con fines educativos, los ciberdelincuentes han utilizado y evolucionado esta herramienta con el objetivo de impactar a diferentes organizaciones del sector bancario, desde el Csirt Financiero se da a conocer una nueva campaña en la cual distribuyen a este troyano de acceso remoto como archivos .sln (archivos de solución asociado a Microsoft Visual studio).
Nueva campaña del troyano bancario Grandoreiro dirigida a países de habla hispana
Publicado: 20/08/2022 | Importancia: Media
El panorama de la ciberguerra es un escenario que vemos día tras día en tendencia debido a la constante actividad de los ciberdelincuentes que pretenden afectar la infraestructura tecnológica de distintos sectores, con el fin de obtener un beneficio; asimismo desde el Csirt Financiero se realiza seguimiento a las amenazas emergentes y a las amenazas que perduran en el ciberespacio como el troyano bancario Grandoreiro, que actualmente está siendo distribuido por medio de una campaña de spearphishing hacia México y España.
Nueva variante de ransomware denominada BianLian
Publicado: 20/08/2022 | Importancia: Media
BianLian es un ransomware que fue identificado en el mes de julio del presente año, este tiene como objetivo cifrar datos y a través de esta capacidad poder exigir un rescate a cambio de una clave para el descifrado, teniendo en cuenta la importancia de la información comprometida muchas organizaciones acceden al pago de esta extorsión; por lo tanto los ciberatacantes de esta amenaza tienen fines económicos.