Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.
Nuevos indicadores de compromiso del troyano GrandoreiroEl equipo del Csirt Financiero han identificado nuevos indicadores de compromiso relacionados con el troyano denominado Grandoreiro. Este se encuentra activo desde el año 2017 y dirige sus ciberataques a países de Latinoamérica y España. El método de propagación consiste en el envío de mensajes de correo electrónico tipo malspam con enlaces para su descarga, simulando un documento. Los mensajes de correo intentan suplantar empresas conocidas y utilizan asuntos que inducen o motivan al usuario a su descarga y visualización.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-del-troyano-grandoreirohttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero han identificado nuevos indicadores de compromiso relacionados con el troyano denominado Grandoreiro. Este se encuentra activo desde el año 2017 y dirige sus ciberataques a países de Latinoamérica y España. El método de propagación consiste en el envío de mensajes de correo electrónico tipo malspam con enlaces para su descarga, simulando un documento. Los mensajes de correo intentan suplantar empresas conocidas y utilizan asuntos que inducen o motivan al usuario a su descarga y visualización.
Skimming usado en ataques de HomoglyphEn el monitoreo a fuentes abiertas, el equipo del Csirt Financiero ha identificado un kit de skimming que usa ataques de homoglyph y mensajes de phishing para la realizar la infección de equipos. La amenaza consiste en registrar dominios IDN de entidades reconocidas, sustituyendo algún carácter de la URL de tal modo que a simple vista no se evidencie el cambio y pueda pasar desapercibido para el usuario.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/skimming-usado-en-ataques-de-homoglyphhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas, el equipo del Csirt Financiero ha identificado un kit de skimming que usa ataques de homoglyph y mensajes de phishing para la realizar la infección de equipos. La amenaza consiste en registrar dominios IDN de entidades reconocidas, sustituyendo algún carácter de la URL de tal modo que a simple vista no se evidencie el cambio y pueda pasar desapercibido para el usuario.
Backdoor Doki infecta contenedores Docker mal configuradosEl equipo del Csirt Financiero ha detectado actividad del backdoor Doki, dirigida a las API de contenedores Docker alijadas en servidores de plataformas de nube como AWS, Azure, Alibaba Cloud entre otros. Estos contenedores funcionan empaquetando o reuniendo varias aplicaciones de software en un solo lugar, facilitando la instalación, configuración y despliegue de los servicios tecnológicos en servidores.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/backdoor-doki-infecta-contenedores-docker-mal-configuradoshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha detectado actividad del backdoor Doki, dirigida a las API de contenedores Docker alijadas en servidores de plataformas de nube como AWS, Azure, Alibaba Cloud entre otros. Estos contenedores funcionan empaquetando o reuniendo varias aplicaciones de software en un solo lugar, facilitando la instalación, configuración y despliegue de los servicios tecnológicos en servidores.
Grupo cibercriminal Prilex reinicia operaciones.Desde el Csirt Financiero se ha identificado que el grupo Prilex, del cual no se tenía información desde principios del 2019, ha reiniciado sus ataques a través de campañas de malspam que tiene como objetivo infectar los equipos con malware para exfiltrar la información de los sistemas POS (Point of Sale) y capturar los datos de las tarjetas utilizadas en estos puntos de venta.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-cibercriminal-prilex-reinicia-operacioneshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se ha identificado que el grupo Prilex, del cual no se tenía información desde principios del 2019, ha reiniciado sus ataques a través de campañas de malspam que tiene como objetivo infectar los equipos con malware para exfiltrar la información de los sistemas POS (Point of Sale) y capturar los datos de las tarjetas utilizadas en estos puntos de venta.
Troyano Wellmess, experto en exfiltración de informaciónEn el monitoreo a fuentes abiertas, el equipo del Csirt Financiero ha detectado actividad del troyano WellMess, este ha sido utilizado por diferentes grupos de ciberdelincuentes desde el año 2018. Fue escrito en lenguaje Go y es compatible con .NET, se distribuye en sistemas operativos Windows de 32 y 64 bits.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/troyano-wellmess-experto-en-exfiltracion-de-informacionhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas, el equipo del Csirt Financiero ha detectado actividad del troyano WellMess, este ha sido utilizado por diferentes grupos de ciberdelincuentes desde el año 2018. Fue escrito en lenguaje Go y es compatible con .NET, se distribuye en sistemas operativos Windows de 32 y 64 bits.
Anchor_Linux: módulo de Trickbot para distribuciones LinuxEn el monitoreo realizado por el equipo del Csirt Financiero a fuentes abiertas, se ha identificado que el troyano bancario Trickbot ahora infecta equipos con distribuciones Linux. Trickbot se hizo notar a nivel mundial en el 2019 por sus actividades ilegales, como la exfiltración de credenciales, información personal y funcionalidades que permiten la descarga e instalación de otras familias de malware (Dropper).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/anchor_linux-modulo-de-trickbot-para-distribuciones-linuxhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el equipo del Csirt Financiero a fuentes abiertas, se ha identificado que el troyano bancario Trickbot ahora infecta equipos con distribuciones Linux. Trickbot se hizo notar a nivel mundial en el 2019 por sus actividades ilegales, como la exfiltración de credenciales, información personal y funcionalidades que permiten la descarga e instalación de otras familias de malware (Dropper).
Nuevo módulo de Emotet para exfiltrar información de correos electrónicosEl equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, la inclusión de un nuevo módulo en Emotet para capturar y exfiltrar documentos adjuntos y contactos de asociados a las cuentas de correo electrónico.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-modulo-de-emotet-para-exfiltrar-informacion-de-correos-electronicoshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, la inclusión de un nuevo módulo en Emotet para capturar y exfiltrar documentos adjuntos y contactos de asociados a las cuentas de correo electrónico.
Subastarán Código Fuente De Troyano Bancario CerberusEl equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, que los operadores del troyano bancario para Android Cerberus, están subastando en un foro clandestino de internet el código fuente, la lista de sus clientes, la guía de instalación y secuencias de comandos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/subastaran-codigo-fuente-de-troyano-bancario-cerberushttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, que los operadores del troyano bancario para Android Cerberus, están subastando en un foro clandestino de internet el código fuente, la lista de sus clientes, la guía de instalación y secuencias de comandos.
Captura y exfiltración de datos en estándar EMVEl equipo del Csirt Financiero ha evidenciado que la información de las tarjetas de chip que cumplen el estándar EMV puede ser capturada y exfiltrada, mediante la utilización de malware como: Alina POS, Dexter POS y TinyLoader, en los sistemas POS.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/captura-y-exfiltracion-de-datos-en-estandar-emvhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado que la información de las tarjetas de chip que cumplen el estándar EMV puede ser capturada y exfiltrada, mediante la utilización de malware como: Alina POS, Dexter POS y TinyLoader, en los sistemas POS.
Nueva campaña de malspam infecta los equipos con NjRAT y AsyncRATEl equipo del Csirt Financiero ha evidenciado el envío masivo de mensajes de correo electrónico distribuyendo a njRAT y AsyncRAT, utilizan como asunto un supuesto pago realizado desde la entidad bancaria del usuario. Los ciberdelincuentes utilizan técnicas para persuadir y engañar a usuarios incautos, logrando que realicen la descarga y ejecución de archivos maliciosos, ya sea a través de URL o documentos adjuntos en los mensajes.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-campana-de-malspam-infecta-los-equipos-con-njrat-y-asyncrathttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado el envío masivo de mensajes de correo electrónico distribuyendo a njRAT y AsyncRAT, utilizan como asunto un supuesto pago realizado desde la entidad bancaria del usuario. Los ciberdelincuentes utilizan técnicas para persuadir y engañar a usuarios incautos, logrando que realicen la descarga y ejecución de archivos maliciosos, ya sea a través de URL o documentos adjuntos en los mensajes.
Nuevos indicadores de compromiso asociados a WastedlockerEl equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, nuevos indicadores de compromiso asociados a WastedLocker. La aparición de esta nueva variante de ransomware posee características que le permite elevar privilegios mediante bypass UAC para modificar la carpeta system32 y de esta manera interactuar con los archivos del sistema.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-wastedlockerhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, nuevos indicadores de compromiso asociados a WastedLocker. La aparición de esta nueva variante de ransomware posee características que le permite elevar privilegios mediante bypass UAC para modificar la carpeta system32 y de esta manera interactuar con los archivos del sistema.
Nuevo framework de malware multiplataforma asociado a Lazarus GroupEl equipo del Csirt Financiero ha evidenciado a través del monitoreo que el grupo cibercriminal Lazarus, conocido por tener vínculos con el régimen norcoreano, ha creado un nuevo APT Framework multiplataforma con la intención de infiltrarse en entidades corporativas de todo el mundo, capturar datos de los clientes y distribuir Ransomware.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-framework-de-malware-multiplataforma-asociado-a-lazarus-grouphttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado a través del monitoreo que el grupo cibercriminal Lazarus, conocido por tener vínculos con el régimen norcoreano, ha creado un nuevo APT Framework multiplataforma con la intención de infiltrarse en entidades corporativas de todo el mundo, capturar datos de los clientes y distribuir Ransomware.
Thiefquest el malware dirigido a MacOSEl equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, una nueva amenaza dirigida a Sistemas MacOS, se trata del malware conocido como ThiefQuest o EvilQuest. Los ciberdelincuentes introdujeron funcionalidades maliciosas en versiones de aplicaciones de seguridad como Little Snitch y en las aplicaciones Ableton y Mixed In Key utilizadas para la reproducción de música.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/thiefquest-el-malware-dirigido-a-macoshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, una nueva amenaza dirigida a Sistemas MacOS, se trata del malware conocido como ThiefQuest o EvilQuest. Los ciberdelincuentes introdujeron funcionalidades maliciosas en versiones de aplicaciones de seguridad como Little Snitch y en las aplicaciones Ableton y Mixed In Key utilizadas para la reproducción de música.
Ataques de Jackpotting en máquinas ATM DieboldEl equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, una advertencia producida por la compañía Diebold Nixdorf de ataques Jackpotting sobre máquinas ATM en varios países europeos. La técnica de jackpotting consiste en tener acceso físico de la máquina ATM para alcanzar los puertos USB o unidad de CD-ROM, con el fin de infectarlo y forzarlo a expulsar el dinero.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/copy_of_emotet-despliega-malspam-despues-de-5-meses-de-ausenciahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, una advertencia producida por la compañía Diebold Nixdorf de ataques Jackpotting sobre máquinas ATM en varios países europeos. La técnica de jackpotting consiste en tener acceso físico de la máquina ATM para alcanzar los puertos USB o unidad de CD-ROM, con el fin de infectarlo y forzarlo a expulsar el dinero.
Emotet despliega Malspam después de 5 meses de ausenciaLuego de 5 meses Emotet ha resurgido con más de 250.000 mensajes de malspam enviados a destinatarios de correo electrónico en todo el mundo. Desde el pasado viernes los usuarios de Microsoft Office han recibido cientos de correos electrónicos maliciosos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/emotet-despliega-malspam-despues-de-5-meses-de-ausenciahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Luego de 5 meses Emotet ha resurgido con más de 250.000 mensajes de malspam enviados a destinatarios de correo electrónico en todo el mundo. Desde el pasado viernes los usuarios de Microsoft Office han recibido cientos de correos electrónicos maliciosos.
Nuevos indicadores de compromiso asociados a EmotetEl equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, nuevos indicadores de compromiso relacionados al troyano bancario Emotet, reconocido mundialmente por ser uno de los malware más destructivos debido a sus funcionalidades de captura y exfiltración de credenciales bancarias y su comportamiento similar al de gusano para expandir su propagación a otros equipos conectados.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-emotet-8http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, nuevos indicadores de compromiso relacionados al troyano bancario Emotet, reconocido mundialmente por ser uno de los malware más destructivos debido a sus funcionalidades de captura y exfiltración de credenciales bancarias y su comportamiento similar al de gusano para expandir su propagación a otros equipos conectados.
Colección de kits de phishing a la venta en la deep webEl equipo del Csirt Financiero ha identificado la comercialización de un pack que contiene diversas plantillas para realizar phishing a todo tipo de organizaciones, entre las que se encuentran algunas entidades financieras. En total el pack está compuesto por más de 1300 kits de herramientas para realizar campañas de phishing.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/coleccion-de-kits-de-phishing-a-la-venta-en-la-deep-webhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado la comercialización de un pack que contiene diversas plantillas para realizar phishing a todo tipo de organizaciones, entre las que se encuentran algunas entidades financieras. En total el pack está compuesto por más de 1300 kits de herramientas para realizar campañas de phishing.
Análisis Avanzado de APT asociada al Grupo TA505Se ha identificado una nueva campaña del grupo de cibercriminales TA505 en la región de Latino América. Para esta campaña el grupo ha empleado el RAT SDBBot y el ransomware CLOP para exfiltrar y cifrar información de las posibles víctimas y obtener beneficios económicos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/analisis-avanzado-de-apt-asociada-al-grupo-ta505http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Se ha identificado una nueva campaña del grupo de cibercriminales TA505 en la región de Latino América. Para esta campaña el grupo ha empleado el RAT SDBBot y el ransomware CLOP para exfiltrar y cifrar información de las posibles víctimas y obtener beneficios económicos.
Troyano bancario Mekotio en LatinoamericaEl equipo del Csirt Financiero ha evidenciado la actividad del troyano bancario conocido como Mekotio que afecta sistemas operativos Windows y cuenta con la capacidad para obtener credenciales de portales web financieros y criptomonedas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/troyano-bancario-mekotio-en-latinoamericahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado la actividad del troyano bancario conocido como Mekotio que afecta sistemas operativos Windows y cuenta con la capacidad para obtener credenciales de portales web financieros y criptomonedas.
Nuevos indicadores de compromiso relacionados a RATicateEl equipo del Csirt Financiero ha evidenciado que el grupo de cibercriminales RATicate ha estado distribuyendo gran variedad de troyanos de acceso remoto, con la intención de obtener control de los equipos infectados. La forma y medios de entrega de malware actual es diferente al implementado tiempo atrás.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-relacionados-a-raticatehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado que el grupo de cibercriminales RATicate ha estado distribuyendo gran variedad de troyanos de acceso remoto, con la intención de obtener control de los equipos infectados. La forma y medios de entrega de malware actual es diferente al implementado tiempo atrás.
-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}