Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.
Grupo cibercriminal Prilex reinicia operaciones.Desde el Csirt Financiero se ha identificado que el grupo Prilex, del cual no se tenía información desde principios del 2019, ha reiniciado sus ataques a través de campañas de malspam que tiene como objetivo infectar los equipos con malware para exfiltrar la información de los sistemas POS (Point of Sale) y capturar los datos de las tarjetas utilizadas en estos puntos de venta.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-cibercriminal-prilex-reinicia-operacioneshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se ha identificado que el grupo Prilex, del cual no se tenía información desde principios del 2019, ha reiniciado sus ataques a través de campañas de malspam que tiene como objetivo infectar los equipos con malware para exfiltrar la información de los sistemas POS (Point of Sale) y capturar los datos de las tarjetas utilizadas en estos puntos de venta.
Grupo cibercriminal TeamTNT dirigen sus campañas a la captura de credenciales de acceso para Azure y Google CloudRecientemente, actores de amenaza identificados como TeamTNT han sido vinculados a campañas maliciosas que tiene la finalidad de capturar credenciales de acceso asociadas a los servicios de Microsoft Azure y Google Cloud Plataform (GCP).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-cibercriminal-teamtnt-dirigen-sus-campanas-a-la-captura-de-credenciales-de-acceso-para-azure-y-google-cloudhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Recientemente, actores de amenaza identificados como TeamTNT han sido vinculados a campañas maliciosas que tiene la finalidad de capturar credenciales de acceso asociadas a los servicios de Microsoft Azure y Google Cloud Plataform (GCP).
Grupo cibercriminal utiliza herramientas para implantar ransomwareEn el monitoreo a fuentes abiertas de información, el equipo del Csirt financiero ha identificado un grupo APT denominado PyXie o GOLD DUPONT, el cual ha realizado campañas de infección con ransomware a múltiples empresas de sectores como tecnología, salud, educación y entidades gubernamentales desde el año 2018. Este grupo cibercriminal se ha caracterizado por tener un bajo perfil, ser lento y cauteloso en cada una de sus campañas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-cibercriminal-utiliza-herramientas-para-implantar-ransomwarehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt financiero ha identificado un grupo APT denominado PyXie o GOLD DUPONT, el cual ha realizado campañas de infección con ransomware a múltiples empresas de sectores como tecnología, salud, educación y entidades gubernamentales desde el año 2018. Este grupo cibercriminal se ha caracterizado por tener un bajo perfil, ser lento y cauteloso en cada una de sus campañas.
Grupo ciberdelincuencial FIN8 regresa con una nueva versión de BadHatch POSEn el monitoreo realizado por el Csirt Financiero, se ha evidenciado nueva actividad por parte del grupo de ciberdelincuentes identificado como Fin8. Este grupo del cual se conoce actividad maliciosa desde el año 2016 y con motivación financiera es conocido por ejecutar diversas campañas para distribuir principalmente el backdoor PUNCHBUGGY y el malware PUNCHTRACK ambos dirigidos a comprometer sistemas POS (point of sale).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-ciberdelincuencial-fin8-regresa-con-una-nueva-version-de-badhatch-poshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero, se ha evidenciado nueva actividad por parte del grupo de ciberdelincuentes identificado como Fin8. Este grupo del cual se conoce actividad maliciosa desde el año 2016 y con motivación financiera es conocido por ejecutar diversas campañas para distribuir principalmente el backdoor PUNCHBUGGY y el malware PUNCHTRACK ambos dirigidos a comprometer sistemas POS (point of sale).
Grupo ciberdelincuente ofrece nuevo stealerMediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó un nuevo stealer.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-ciberdelincuente-ofrece-nuevo-stealerhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó un nuevo stealer.
Grupo Confucius adopta nuevos backdoors basados en Python para sus campañas de espionajeDurante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva actividad atribuida al grupo APT Confucius.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-confucius-adopta-nuevos-backdoors-basados-en-python-para-sus-campanas-de-espionajehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva actividad atribuida al grupo APT Confucius.
Grupo de amenazas UNC2447 distribuye backdoor Sombrat y ransomware FivehandsEn el monitoreo a fuentes abiertas de información, el Csirt Financiero ha identificado un grupo actor de ciberamenazas denominado UNC2447, que para esta campaña maliciosa se encarga de explotar una vulnerabilidad en SonicWall VPN para distribuir el malware denominado Sombrat y el ransomware Fivehands.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-de-amenazas-unc2447-distribuye-backdoor-sombrat-y-ransomware-fivehandshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el Csirt Financiero ha identificado un grupo actor de ciberamenazas denominado UNC2447, que para esta campaña maliciosa se encarga de explotar una vulnerabilidad en SonicWall VPN para distribuir el malware denominado Sombrat y el ransomware Fivehands.
Grupo de cibercriminales denominado “machete” realiza campaña de ciberespionaje en LatinoaméricaDesde el CSIRT financiero se identificó una nueva campaña de ciberespionaje orquestada por el grupo “machete”, esta nueva campaña se ha enfocado en países latinoamericanos usando técnicas como spear phishing para instalar nuevas variantes de malware en los equipos víctimas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-de-cibercriminales-denominado-201cmachete201d-realiza-campana-de-ciberespionaje-en-latinoamericahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el CSIRT financiero se identificó una nueva campaña de ciberespionaje orquestada por el grupo “machete”, esta nueva campaña se ha enfocado en países latinoamericanos usando técnicas como spear phishing para instalar nuevas variantes de malware en los equipos víctimas.
Grupo detrás de REvil Ransomware ofrece nuevos servicios de extorsiónEn el monitoreo a fuentes abiertas de información, el Csirt Financiero ha observado que los operadores de REvil ransomware están ofreciendo en foros clandestinos nuevas técnicas de extorsión para presionar aún más a las víctimas para el pago del rescate exigido por la información comprometida.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-detras-de-revil-ransomware-ofrece-nuevos-servicios-de-extorsionhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el Csirt Financiero ha observado que los operadores de REvil ransomware están ofreciendo en foros clandestinos nuevas técnicas de extorsión para presionar aún más a las víctimas para el pago del rescate exigido por la información comprometida.
Grupo FULLZ HOUSE exfiltra tarjetas de crédito a través de skimming webEn el ejercicio del monitoreo a fuentes abiertas, por parte del equipo del Csirt financiero, se ha evidenciado actividad maliciosa del grupo FULLZ HOUSE. Estos cibercriminales son reconocidos por exfiltrar información de tarjetas de crédito mediante el compromiso de sitios web con pasarelas de pago.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-fullz-house-exfiltra-tarjetas-de-credito-a-traves-de-skimming-webhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el ejercicio del monitoreo a fuentes abiertas, por parte del equipo del Csirt financiero, se ha evidenciado actividad maliciosa del grupo FULLZ HOUSE. Estos cibercriminales son reconocidos por exfiltrar información de tarjetas de crédito mediante el compromiso de sitios web con pasarelas de pago.
Grupo Fxmsp comercializa credenciales corporativas a nivel mundial.Un actor conocido como Fxmsp fue identificado entre 2017 y 2019 realizando ventas en foros rusos de la deep web. Las ventas se trataban de accesos a redes corporativas de diferentes países y sectores, encontrándose entre ellos algunas entidades del sector financiero y una de Colombia no identificada.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-fxmsp-comercializa-credenciales-corporativas-a-nivel-mundialhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Un actor conocido como Fxmsp fue identificado entre 2017 y 2019 realizando ventas en foros rusos de la deep web. Las ventas se trataban de accesos a redes corporativas de diferentes países y sectores, encontrándose entre ellos algunas entidades del sector financiero y una de Colombia no identificada.
Grupo Gamaredon agrega plantillas y macros maliciosas a sus módulosEl grupo Gamaredon ha agregado dos herramientas de infección a su arsenal, una macro de Microsoft Visual Basic (VBA) destinada a Microsoft Outlook, con el objetivo de enviar malware mediante mensajes de correo tipo spearphishing y un módulo para inyectar macros o plantillas maliciosas en documentos ubicados en el sistema comprometido. Esto con el fin de enumerar los archivos del equipo comprometido, realizar movimientos laterales y exfiltrar información hacia su servidor de Comando y Control (C2).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-gamaredon-agrega-plantillas-y-macros-maliciosas-a-sus-moduloshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El grupo Gamaredon ha agregado dos herramientas de infección a su arsenal, una macro de Microsoft Visual Basic (VBA) destinada a Microsoft Outlook, con el objetivo de enviar malware mediante mensajes de correo tipo spearphishing y un módulo para inyectar macros o plantillas maliciosas en documentos ubicados en el sistema comprometido. Esto con el fin de enumerar los archivos del equipo comprometido, realizar movimientos laterales y exfiltrar información hacia su servidor de Comando y Control (C2).
Grupo Gootkit utiliza Gootloader como vector de infección principalEn el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado una nueva campaña denominada Gootloader asociada al grupo APT Gootkit, la cual tiene como objetivo principal buscar víctimas en diferentes sectores, incluido el sector financiero y brindar un servicio bajo el modelo de acceso Inicial.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-gootkit-utiliza-gootloader-como-vector-de-infeccion-principalhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado una nueva campaña denominada Gootloader asociada al grupo APT Gootkit, la cual tiene como objetivo principal buscar víctimas en diferentes sectores, incluido el sector financiero y brindar un servicio bajo el modelo de acceso Inicial.
Grupo Lazarus hace uso de archivos de acceso directo de WindowsEn el monitoreo realizado a fuentes abiertas de información, el equipo de analistas del Csirt Financiero ha observado nueva actividad llevada a cabo por el grupo Lazarus también conocido como Hidden Cobra, este grupo ha ejecutado sus actividades cibercriminales desde el año 2009 aproximadamente, el cual genera cambios constantes es sus técnicas, principalmente en sus campañas de phishing.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-lazarus-hace-uso-de-archivos-de-acceso-directo-de-windowshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas de información, el equipo de analistas del Csirt Financiero ha observado nueva actividad llevada a cabo por el grupo Lazarus también conocido como Hidden Cobra, este grupo ha ejecutado sus actividades cibercriminales desde el año 2009 aproximadamente, el cual genera cambios constantes es sus técnicas, principalmente en sus campañas de phishing.
Grupo Lazarus inhabilita herramientas de seguridad mediante la técnica BYOVDSe conoce que el grupo APT Lazarus es uno de los más populares en la última década dado a su amplia gama de métodos empleado en sus operaciones maliciosas; recientemente se ha identificado un ataque en el cual este grupo de amenazas utiliza una vulnerabilidad en el producto MagicLine4NX desarrollado por Dream Security con el fin de impactar en mayor manera las redes internas después de ejecutar la técnica de abrevadero (ataque contra organizaciones en la que el atacante infecta con malware sitios web de terceros muy utilizados por los usuario de la organización), posteriormente se manipula un controlador vulnerable que se usa para inhabilitar las herramientas de seguridad que se encuentren instauradas en las infraestructuras tecnológicas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-lazarus-inhabilita-herramientas-de-seguridad-mediante-la-tecnica-byovdhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Se conoce que el grupo APT Lazarus es uno de los más populares en la última década dado a su amplia gama de métodos empleado en sus operaciones maliciosas; recientemente se ha identificado un ataque en el cual este grupo de amenazas utiliza una vulnerabilidad en el producto MagicLine4NX desarrollado por Dream Security con el fin de impactar en mayor manera las redes internas después de ejecutar la técnica de abrevadero (ataque contra organizaciones en la que el atacante infecta con malware sitios web de terceros muy utilizados por los usuario de la organización), posteriormente se manipula un controlador vulnerable que se usa para inhabilitar las herramientas de seguridad que se encuentren instauradas en las infraestructuras tecnológicas.
Grupo norcoreano distribuye malware para AndroidMediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó al grupo norcoreano ScarCruft distribuyendo un malware para dispositivos móviles.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-norcoreano-distribuye-malware-para-androidhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó al grupo norcoreano ScarCruft distribuyendo un malware para dispositivos móviles.
Grupo Oldgremlin distribuye Ransomware TinyPoshEn el monitoreo realizado por el Csirt Financiero a fuentes abiertas, se han evidenciado nuevos indicadores de compromiso de las campañas de ransomware ejecutadas por el grupo ruso OldGremlin.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-oldgremlin-distribuye-ransomware-tinyposhhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero a fuentes abiertas, se han evidenciado nuevos indicadores de compromiso de las campañas de ransomware ejecutadas por el grupo ruso OldGremlin.
Grupo REvil hace uso de la herramienta Bsearch para exfiltración de informaciónEn el seguimiento a fuentes abiertas de información, para la identificación de nuevas amenazas o vulnerabilidades que pueden llegar a afectar la infraestructura tecnológica de los asociados, el equipo de analistas del Csirt Financiero ha observado una herramienta denominada Bsearch usada por el grupo de ransomware REvil, con la finalidad de realizar el proceso de exfiltración de información del equipo infectado por este actor de amenazas para luego enviarla a su servidor de comando y control (C2).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-revil-hace-uso-de-la-herramienta-bsearch-para-exfiltracion-de-informacionhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el seguimiento a fuentes abiertas de información, para la identificación de nuevas amenazas o vulnerabilidades que pueden llegar a afectar la infraestructura tecnológica de los asociados, el equipo de analistas del Csirt Financiero ha observado una herramienta denominada Bsearch usada por el grupo de ransomware REvil, con la finalidad de realizar el proceso de exfiltración de información del equipo infectado por este actor de amenazas para luego enviarla a su servidor de comando y control (C2).
Grupo RTM ataca a entidades financieras con nuevo ransomwareEn el monitoreo realizado a fuentes abiertas de información, el equipo del Csirt Financiero identificó un nuevo ataque por parte del grupo APT ruso RTM.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-rtm-ataca-a-entidades-financieras-con-nuevo-ransomwarehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas de información, el equipo del Csirt Financiero identificó un nuevo ataque por parte del grupo APT ruso RTM.
Grupo TA2101 (campaña de distribución de IcedID y MAZE)A través del observatorio de amenazas del CSIRT Financiero, se ha identificado actividad reciente acerca de un nuevo grupo denominado TA2101. Este nuevo APT, ha protagonizado una serie de campañas de tipo malspam y phishing, utilizando la imagen de entidades y organizaciones de Alemania, Italia y Estados Unidos. Hasta el momento no se tiene estipulado a que línea de usuarios buscan afectar, no obstante, han utilizado variantes del ransomware Maze y el troyano bancario IcedID en sus campañas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-ta2101-campana-de-distribucion-de-icedid-y-mazehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del observatorio de amenazas del CSIRT Financiero, se ha identificado actividad reciente acerca de un nuevo grupo denominado TA2101. Este nuevo APT, ha protagonizado una serie de campañas de tipo malspam y phishing, utilizando la imagen de entidades y organizaciones de Alemania, Italia y Estados Unidos. Hasta el momento no se tiene estipulado a que línea de usuarios buscan afectar, no obstante, han utilizado variantes del ransomware Maze y el troyano bancario IcedID en sus campañas.
-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}