Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.
Malware se distribuye mediante PoC falsaEl equipo de analistas del Csirt Financiero ha identificado un exploit de prueba de concepto (PoC) para la vulnerabilidad LDAPNightmare (CVE-2024-49113). Esta vulnerabilidad, corregida por Microsoft en diciembre de 2024, afecta al protocolo LDAP, permitiendo a los atacantes ejecutar ataques de denegación de servicio (DoS). El malware se distribuye a través de un repositorio malicioso que imita ser una bifurcación legítima de un proyecto confiable. Su principal objetivo es desplegar scripts maliciosos, exfiltrar información sensible y descargar malware adicional, utilizando servicios como Pastebin y un servidor FTP externo. Esta amenaza representa un riesgo considerable, especialmente para profesionales de seguridad y desarrolladores que confían en herramientas PoC legítimas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/malware-se-distribuye-mediante-poc-falsahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del Csirt Financiero ha identificado un exploit de prueba de concepto (PoC) para la vulnerabilidad LDAPNightmare (CVE-2024-49113). Esta vulnerabilidad, corregida por Microsoft en diciembre de 2024, afecta al protocolo LDAP, permitiendo a los atacantes ejecutar ataques de denegación de servicio (DoS). El malware se distribuye a través de un repositorio malicioso que imita ser una bifurcación legítima de un proyecto confiable. Su principal objetivo es desplegar scripts maliciosos, exfiltrar información sensible y descargar malware adicional, utilizando servicios como Pastebin y un servidor FTP externo. Esta amenaza representa un riesgo considerable, especialmente para profesionales de seguridad y desarrolladores que confían en herramientas PoC legítimas.
Nueva actividad maliciosa relacionada al troyano de acceso remoto FormBookEl equipo de analistas del Csirt Financiero ha identificado nueva actividad maliciosa relacionada con FormBook, un troyano de acceso remoto (RAT) conocido por su modelo de negocio Trojan-as-a-Service (TaaS). Este RAT permite a los ciberdelincuentes acceder a múltiples capacidades para comprometer la seguridad de los equipos, como el registro de pulsaciones de teclas, capturas de pantalla y el robo de credenciales, lo que lo convierte en una amenaza crítica para la seguridad de datos sensibles y operaciones financieras.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-maliciosa-relacionada-al-troyano-de-acceso-remoto-formbookhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del Csirt Financiero ha identificado nueva actividad maliciosa relacionada con FormBook, un troyano de acceso remoto (RAT) conocido por su modelo de negocio Trojan-as-a-Service (TaaS). Este RAT permite a los ciberdelincuentes acceder a múltiples capacidades para comprometer la seguridad de los equipos, como el registro de pulsaciones de teclas, capturas de pantalla y el robo de credenciales, lo que lo convierte en una amenaza crítica para la seguridad de datos sensibles y operaciones financieras.
Nueva actividad de LummaC2Durante las actividades de monitoreo realizadas por el equipo del Csirt Financiero, se ha identificado una nueva campaña de distribución de LummaC2, un stealer diseñado para extraer información confidencial de sistemas comprometidos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-de-lummac2http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Durante las actividades de monitoreo realizadas por el equipo del Csirt Financiero, se ha identificado una nueva campaña de distribución de LummaC2, un stealer diseñado para extraer información confidencial de sistemas comprometidos.
Nueva botnet llamada GayfemboyA través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se identificó una nueva variante de la botnet Mirai llamada Gayfemboy, una red de dispositivos comprometidos diseñada para llevar a cabo ataques de denegación de servicio distribuido (DDoS) y otras actividades maliciosas la cual ha incorporado capacidades avanzadas como la explotación de vulnerabilidades de día 0 y la integración de dispositivos mediante contraseñas Telnet débiles.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-botnet-llamada-gayfemboyhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se identificó una nueva variante de la botnet Mirai llamada Gayfemboy, una red de dispositivos comprometidos diseñada para llevar a cabo ataques de denegación de servicio distribuido (DDoS) y otras actividades maliciosas la cual ha incorporado capacidades avanzadas como la explotación de vulnerabilidades de día 0 y la integración de dispositivos mediante contraseñas Telnet débiles.
Gafgyt: impacto en dispositivos IoTMediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó una nueva variante de Mirai llamada Gafgyt.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/gafgyt-impacto-en-dispositivos-iothttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó una nueva variante de Mirai llamada Gafgyt.
Nuevo ransomware de la familia MedusaLockerMediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó un nuevo ransomware llamado Bbuild.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-ransomware-de-la-familia-medusalockerhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó un nuevo ransomware llamado Bbuild.
Nueva actividad del backdoor EAGERBEEDurante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva actividad relacionada con el backdoor EAGERBEE, una amenaza avanzada que ha sido identificada en ataques dirigidos contra organizaciones gubernamentales y proveedores de servicios de internet (ISP) en el Medio Oriente.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-del-backdoor-eagerbeehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva actividad relacionada con el backdoor EAGERBEE, una amenaza avanzada que ha sido identificada en ataques dirigidos contra organizaciones gubernamentales y proveedores de servicios de internet (ISP) en el Medio Oriente.
Nueva actividad maliciosa relacionada a CobaltStrikeA través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se han identificado nuevos indicadores de compromiso relacionados a CobaltStrike. Esta herramienta, diseñada inicialmente para simulación de amenazas en pruebas de seguridad, ha sido ampliamente utilizada por ciberdelincuentes debido a su versatilidad, capacidades avanzadas y modularidad. Sus características la convierten en una amenaza significativa, especialmente en el sector financiero.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-maliciosa-relacionada-a-cobaltstrikehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se han identificado nuevos indicadores de compromiso relacionados a CobaltStrike. Esta herramienta, diseñada inicialmente para simulación de amenazas en pruebas de seguridad, ha sido ampliamente utilizada por ciberdelincuentes debido a su versatilidad, capacidades avanzadas y modularidad. Sus características la convierten en una amenaza significativa, especialmente en el sector financiero.
Nueva campaña de distribución del reciente Backdoor PLAYFULGHOSTA través del monitoreo realizado por el equipo de analistas del CSIRT Financiero, se ha identificado una nueva campaña de distribución del backdoor PLAYFULGHOST.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-campana-de-distribucion-del-reciente-backdoor-playfulghosthttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del monitoreo realizado por el equipo de analistas del CSIRT Financiero, se ha identificado una nueva campaña de distribución del backdoor PLAYFULGHOST.
Nueva actividad relacionada al ransomware RdpLockerA través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se ha detectado recientemente actividad maliciosa relacionada al ransomware RdpLocker, un malware diseñado para cifrar archivos en infraestructuras afectadas, añadiendo la extensión ".rdplocker".http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-relacionada-al-ransomware-rdplockerhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se ha detectado recientemente actividad maliciosa relacionada al ransomware RdpLocker, un malware diseñado para cifrar archivos en infraestructuras afectadas, añadiendo la extensión ".rdplocker".
LegionLoader: el downloader que abusa de instaladores falsos y servicios en la nubeLegionLoader es un downloader escrito en C/C++ que fue identificado por primera vez en 2019. También es conocido por otros nombres, como Satacom y RobotDropper, y es rastreado como CurlyGate por la firma de ciberseguridad Mandiant. Este loader ha sido utilizado para distribuir diversas amenazas, incluyendo extensiones maliciosas para navegadores como Chrome, las cuales son capaces de alterar contenidos en correos electrónicos y monitorear la actividad de navegación. Entre estas extensiones, destaca CursedChrome, diseñada para convertir navegadores comprometidos en proxies HTTP, permitiendo a los ciberdelincuentes navegar de manera autenticada como las víctimas en múltiples plataformas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/legionloader-el-downloader-que-abusa-de-instaladores-falsos-y-servicios-en-la-nubehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
LegionLoader es un downloader escrito en C/C++ que fue identificado por primera vez en 2019. También es conocido por otros nombres, como Satacom y RobotDropper, y es rastreado como CurlyGate por la firma de ciberseguridad Mandiant. Este loader ha sido utilizado para distribuir diversas amenazas, incluyendo extensiones maliciosas para navegadores como Chrome, las cuales son capaces de alterar contenidos en correos electrónicos y monitorear la actividad de navegación. Entre estas extensiones, destaca CursedChrome, diseñada para convertir navegadores comprometidos en proxies HTTP, permitiendo a los ciberdelincuentes navegar de manera autenticada como las víctimas en múltiples plataformas.
Nuevo método de distribución de Quasar RATEl equipo de analistas del Csirt Financiero ha identificado un nuevo método de distribución del troyano de acceso remoto (RAT) Quasar RAT. Este malware utiliza un paquete malicioso alojado en el repositorio npm, ampliamente usado en el desarrollo con Node.js, para comprometer equipos y ejecutar diversas actividades maliciosas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-metodo-de-distribucion-de-quasar-rathttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del Csirt Financiero ha identificado un nuevo método de distribución del troyano de acceso remoto (RAT) Quasar RAT. Este malware utiliza un paquete malicioso alojado en el repositorio npm, ampliamente usado en el desarrollo con Node.js, para comprometer equipos y ejecutar diversas actividades maliciosas.
Nueva variante de BellaCiao (BellaCPP) pone en riesgo sistemas WindowsBellaCiao es una familia de malware desarrollada en .NET, atribuida al grupo de amenazas persistentes avanzadas (APT) conocido como Charming Kitten. Esta amenaza se distingue por su capacidad para establecer persistencia en los sistemas comprometidos mediante técnicas similares a las utilizadas por webshells. Además, emplea túneles encubiertos para facilitar la comunicación no autorizada y la exfiltración de datos sensibleshttp://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-variante-de-bellaciao-bellacpp-pone-en-riesgo-sistemas-windowshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
BellaCiao es una familia de malware desarrollada en .NET, atribuida al grupo de amenazas persistentes avanzadas (APT) conocido como Charming Kitten. Esta amenaza se distingue por su capacidad para establecer persistencia en los sistemas comprometidos mediante técnicas similares a las utilizadas por webshells. Además, emplea túneles encubiertos para facilitar la comunicación no autorizada y la exfiltración de datos sensibles
Nuevos indicadores de compromiso relacionados al troyano bancario GrandoreiroEl equipo de analistas del CSIRT Financiero ha identificado nuevos indicadores de compromiso asociados con Grandoreiro, un troyano bancario activo desde 2016 que ha afectado principalmente a usuarios en América del Sur, América Central y Europa, con énfasis en países como Brasil, España, México y Colombia, caracterizado por su capacidad para robar información financiera, incluyendo credenciales bancarias, y por su habilidad para realizar transferencias no autorizadas mediante la suplantación de la interfaz de usuario de aplicaciones bancarias legítimas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-relacionados-al-troyano-bancario-grandoreirohttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del CSIRT Financiero ha identificado nuevos indicadores de compromiso asociados con Grandoreiro, un troyano bancario activo desde 2016 que ha afectado principalmente a usuarios en América del Sur, América Central y Europa, con énfasis en países como Brasil, España, México y Colombia, caracterizado por su capacidad para robar información financiera, incluyendo credenciales bancarias, y por su habilidad para realizar transferencias no autorizadas mediante la suplantación de la interfaz de usuario de aplicaciones bancarias legítimas.
Nuevo Ransomware denominado CrynoxEl CSIRT Financiero ha identificado una nueva variante de ransomware denominada Crynox, basada en el malware Chaos, empleando algoritmos de cifrado avanzados, como RSA y AES, lo que garantiza que los datos cifrados solo puedan ser descifrados utilizando una clave privada en posesión de los atacantes.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-ransomware-denominado-crynoxhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El CSIRT Financiero ha identificado una nueva variante de ransomware denominada Crynox, basada en el malware Chaos, empleando algoritmos de cifrado avanzados, como RSA y AES, lo que garantiza que los datos cifrados solo puedan ser descifrados utilizando una clave privada en posesión de los atacantes.
Nuevos indicadores de compromiso relacionados al loader DBatLoaderEl equipo de analistas del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con DBatLoader, también conocido como ModiLoader o NatsoLoader. Este loader ha sido utilizado en campañas maliciosas dirigidas principalmente a empresas en Europa del Este. Su capacidad para descargar y ejecutar cargas maliciosas de manera sigilosa, aprovechando servicios legítimos de almacenamiento en la nube,esto lo convierte en una amenaza considerable y persistente que requiere atención prioritaria.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-relacionados-al-loader-dbatloaderhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con DBatLoader, también conocido como ModiLoader o NatsoLoader. Este loader ha sido utilizado en campañas maliciosas dirigidas principalmente a empresas en Europa del Este. Su capacidad para descargar y ejecutar cargas maliciosas de manera sigilosa, aprovechando servicios legítimos de almacenamiento en la nube,esto lo convierte en una amenaza considerable y persistente que requiere atención prioritaria.
Nuevos indicadores de compromisos relacionados al empaquetador HeartCryptA partir del monitoreo realizado por el equipo de analistas del Csirt Financiero, se han identificado nuevos indicadores de compromiso relacionados con HeartCrypt, un empaquetador popular entre ciberdelincuentes que está en desarrollo desde julio de 2023 y que implementó su modelo de empaquetador como servicio (PaaS) en febrero de 2024. Este servicio se promociona activamente en foros clandestinos y canales de Telegram, destacándose por su capacidad de insertar cargas maliciosas en binarios legítimos y evadir herramientas de seguridad tradicionales.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromisos-relacionados-al-empaquetador-heartcrypthttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A partir del monitoreo realizado por el equipo de analistas del Csirt Financiero, se han identificado nuevos indicadores de compromiso relacionados con HeartCrypt, un empaquetador popular entre ciberdelincuentes que está en desarrollo desde julio de 2023 y que implementó su modelo de empaquetador como servicio (PaaS) en febrero de 2024. Este servicio se promociona activamente en foros clandestinos y canales de Telegram, destacándose por su capacidad de insertar cargas maliciosas en binarios legítimos y evadir herramientas de seguridad tradicionales.
Nueva actividad relacionada a SpyNoteMediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó una nueva actividad relacionada a SpyNote.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-relacionada-a-spynotehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó una nueva actividad relacionada a SpyNote.
Nuevas Actividades Maliciosas del Troyano Bancario GrandoreiroEl equipo del CSIRT Financiero ha identificado actividades maliciosas relacionadas con el troyano bancario Grandoreiro, dirigido principalmente a usuarios de habla hispana en América Latina, especialmente en México y Colombia.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevas-actividades-maliciosas-del-troyano-bancario-grandoreiro-1http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del CSIRT Financiero ha identificado actividades maliciosas relacionadas con el troyano bancario Grandoreiro, dirigido principalmente a usuarios de habla hispana en América Latina, especialmente en México y Colombia.
Nuevos indicadores de compromisos relacionados al troyano de acceso remoto Gh0stA través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se ha identificado recientemente actividad maliciosa vinculada a Gh0st, un troyano de acceso remoto (RAT) conocido desde mediados de 2009 el cual ha sido ampliamente utilizado por ciberdelincuentes en actividades dirigidas a entidades financieras en diversas regiones como América del Sur.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromisos-relacionados-al-troyano-de-acceso-remoto-gh0sthttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del monitoreo realizado por el equipo de analistas del Csirt Financiero, se ha identificado recientemente actividad maliciosa vinculada a Gh0st, un troyano de acceso remoto (RAT) conocido desde mediados de 2009 el cual ha sido ampliamente utilizado por ciberdelincuentes en actividades dirigidas a entidades financieras en diversas regiones como América del Sur.
-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}