Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Venus, nuevo ransomware aparece en la naturaleza

El ransomware es un tipo de malware muy conocido en el ecosistema de ciberseguridad por su gran capacidad de afectación a la infraestructura tecnológica infectada, donde cifra los archivos almacenados en el sistema, impidiendo el acceso a estos; además, los actores de amenaza utilizan diversas estrategias de persuasión para que las victimas paguen por el rescate de estos datos, entre los más comunes se encuentra la filtración de los mencionados en foros de la Deep y Dark web y la eliminación de esta data.

Nuevo ransomware denominado Ransom Cartel

A través del monitoreo a fuentes abiertas de información en búsqueda de nuevas actividades que puedan llegar afectar la infraestructura de nuestros asociados el equipo de analistas del Csirt Financiero, identificó un nuevo ransomware denominado Ransom Cartel, esta ciberamenaza cuenta con varias técnicas y similitudes con el código de desarrollo del ransomware REvil, por lo que se infiere que pueden ser los mismos grupos de ciberdelincuentes quienes distribuyen este nuevo malware.

Nuevo ransomware denominado Prestige.

En el monitoreo realizado por el equipo de analistas del Csirt Financiero se conoció un nuevo ransomware denominado Prestige el cual se implementó el 11 de octubre del 2022 en ciberataques que ocurrieron en los países de Ucrania y Polonia.

Nueva campaña de distribución y actualización del ransomware Magniber

Aunque el ransomware Magniber ha sido reportado en ocasiones anteriores, el equipo de analistas del Csirt Financiero en un monitoreo a fuentes abiertas de información ha identificado una nueva campaña de dicho ransomware con el que fueron encontrados nuevos indicadores de compromiso (IoC).

Nueva actividad maliciosa del framework denominado Brute Ratel

Bruteratel también conocido como BRc4, es un conjunto de herramientas similar a cobalt strike con el propósito final de poder ejecutar comandos de forma remota en una red comprometida. Esto otorgaría al atacante acceso al resto de la red de una manera más fácil.

Nueva actividad maliciosa de RedLine stealer

Cada día, se evidencian nuevas estrategias maliciosas por parte de los actores de amenaza, las cuales tienen como propósito afectar infraestructuras tecnológicas de una persona u organización por medio de la persuasión y el engaño, donde por error las victimas ejecutan o abren un archivo aparentemente legitimo pero que en realidad es la carga útil de alguna familia de malware.

Un nuevo stealer denominado Mitsu es distribuido por medio de sitios phishing

Los actores de amenazas actúan conforme a sus objetivos, de ahí que empleen técnicas de ingeniería social para persuadir a sus víctimas para que ejecuten acciones involuntarias que resultan comprometiendo su información confidencial; acorde con lo anterior los sitios phishing se ven frecuentemente en la naturaleza suplantando organizaciones de distintos sectores, recientemente se rastreó una nueva campaña en la que se distribuye un nuevo stealer denominado Mitsu a través de una web fraudulenta de Anydesk.

Nueva variante de GuLoader también conocido como CloudEyE

GuLoader o CloudEyE, es un programa malicioso que tiene como objetivo permitir a los cibercriminales desplegar otras familias de malware más capacitadas como troyanos de acceso remoto (RAT, por sus siglas en ingles) y ransomware. Utilizan esta amenaza como punto de apoyo inicial y así posteriormente con las herramientas anteriormente mencionadas recopilar y exfiltrar información sensible que se encuentre alojada en las infraestructuras comprometidas.

Nuevo framework denominado Alchimist

En el monitoreo realizado por el equipo de analistas el Csirt Financiero se observó un nuevo framework de comando y control llamada Alchimist, el cual opera junto a un nuevo malware llamado Insekt con capacidades de administración remota y dirigido a equipos con sistemas operativos Windows, Linux y Mac.

Nuevo troyano bancario denominado Copybara

En el ciberespacio recientemente se han estado evidenciando múltiples campañas maliciosas donde su vector de infección es a través de dispositivos móviles, las cuales tienen como propósito persuadir a la víctima para que realice la descarga de aplicaciones relacionadas con el sector financiero, pero que en realidad son las cargas útiles de troyanos bancarios; anteriormente, este tipo de ataques se habían presenciado en la India, sin embargo, se han identificado casos similares en Europa, específicamente en Italia.

Un nuevo kit de herramientas de phishing como servicio denominado Caffeine

Las plataformas de phishing como servicio (PhaaS, Phishing as a Service) son herramientas que cobran más fuerza en la naturaleza gracias a la automatización que les brinda a los ciberdelincuentes en sus campañas maliciosas; recientemente se rastreó la plataforma Caffeine un conjunto de herramientas, que está siendo usado activamente por los atacantes en la orquestación de su vector de distribución en sus ataques cibernéticos por ejemplo en la fase de armamentización.

Nuevo método de infección del ransomware BlackByte

Entre las nuevas actualizaciones y novedades de las amenazas reportadas anteriormente por el Csirt Financiero se ha identificado una nueva actividad maliciosa relacionada con el ransomware BlackByte, donde se evidenció que esta amenaza se está aprovechando de una vulnerabilidad en un controlador legítimo de Windows para evadir soluciones antimalware.

Nuevos indicadores de compromiso del troyano Formbook

A través de actividades de monitoreo en distintas fuentes de información, el equipo de analista del Csirt financiero realizó un seguimiento a las amenazas reportadas en ocasiones anteriores, ya que los actores de amenaza mantienen constantes actualizaciones de técnicas y tácticas con los que buscan generar un impacto en la seguridad de la información de las entidades y organizaciones.

Identificados nuevos indicadores de compromiso del troyano bancario Lokibot

El troyano bancario Lokibot ha sido reportado en ocasiones anteriores por el equipo de analistas del Csirt Financiero siendo una de las amenazas más utilizadas a nivel global por diferentes grupos de ciberdelincuentes debido a sus grandes capacidades, esto con el objetivo principal de capturar datos bancarios confidenciales y exfiltrarlos a servidores de comando y control C2, dicho troyano se encuentra dirigido a equipos con sistemas operativos Windows y dispositivos Android.

Nueva actividad detectada del RAT Agent Tesla

Agent Tesla es una de las familias de malware más renombradas en la naturaleza, desde su aparición en el ciberespacio en 2014 ha tenido una gran trayectoria gracias a las exitosas campañas que han desplegado distintos ciberdelincuentes; este troyano de acceso remoto como se ha mencionado anteriormente se comercializa bajo la modalidad de negocio (MaaS) y es distribuido a nivel global.

Nuevos indicadores de compromiso sobre reciente actividad maliciosa de Mirai

A través de actividades de monitoreo en diferentes fuentes de información el equipo de analistas del Csirt Financiero realizó un seguimiento a las amenazas reportadas en ocasiones anteriores, teniendo en cuenta que en el ámbito de ciberespacio los actores de estas amenazas mantienen constantes actualizaciones de técnicas y tácticas con los que buscan generar un impacto en la seguridad de la información de las entidades y organizaciones.

El grupo de amenazas Eternity y su nuevo botnet Lilith

Los actores de amenazas continúan propagando nuevas familias de malware en la naturaleza, por lo cual es normal frecuentar el modelo de negocio MaaS (Malware as a Service) ofrecido en distintos medios, por ejemplo, se puede encontrar la comercialización de malware en foros clandestinos de la Darknet y durante los últimos años en canales de Telegram; es así como se reconoce el grupo ruso Eternity quienes desarrollan distintos tipos de malware y recientemente adicionaron a su arsenal un nuevo botnet denominado Lilith.

El troyano Xloader distribuido en foros populares de la Deep y Dark web

Xloader es un troyano conocido por sus altas capacidades de capturar información confidencial de equipos con sistemas operativos Microsoft Windows y Mac Os, donde el código de este troyano se encuentra basado en otro troyano muy popular como lo es FormBook.

Maggie el nuevo backdoor dirigido a servidores Microsoft Server SQL

En el ejercicio de monitorear constantemente las nuevas amenazas descubiertas en la naturaleza, se ha rastreado un nuevo backdoor denominado Maggie, el cual se ha estado distribuyendo a nivel global y ha comprometido exitosamente servidores MSSQL (Microsoft SQL) de diferentes organizaciones; esta amenaza brinda a los ciberdelincuentes capacidades notorias como la ejecución remota de comandos y la posibilidad de realizar movimientos laterales.

NUEVO RAT DIRIGIDO A DISPOSITIVOS ANDROID DENOMINADO RATMILAD

Las familias de malware desarrolladas para sistemas Android se han vuelto bastante frecuentes en el ciberespacio esencialmente por las prestaciones que pueden ofrecer a un ciberdelincuente, no obstante, el malware de tipo spyware es utilizado por gobiernos en operaciones de espionaje; por lo cual estas amenazas pueden ser adquiridas por cualquier adversario en foros clandestinos de la Darknet, en ese orden de ideas se descubrió un nuevo troyano de acceso remoto (RAT) con capacidades de spyware denominado RatMilad.