Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

El troyano bancario Ares resurge con nuevas TTP

Aunque el troyano bancario Ares no es una nueva amenaza en el ciberespacio, ha resurgido con nuevas técnicas, tácticas y procedimientos compiladas en su segunda versión lanzada a mediados del mes de agosto; su aparición en el panorama de amenazas radica de febrero de 2021 desde entonces los ciberdelincuentes lo han empleado para apuntar al sector financiero, asimismo se ha rastreado que esta nueva versión está siendo desplegada en México hacia entidades financieras.

Nuevo Framework denominado Bruteratel

Bruteratel es un framework que permite a los actores de amenaza simular un ciberataque contra una organización con el objetivo que los ciberdelincuentes puedan encontrar brechas de seguridad donde identifican vulnerabilidades para poder desencadenar un proceso de infección.

Nuevo troyano de acceso remoto denominado Venom RAT

Se identificó una familia denominada Venom RAT, como un Malware as a Service (MaaS, por sus siglas en inglés), es una herramienta que puede ser adquirida de forma legítima y por esta razón los ciberdelincuentes comenzaron a obtener dicho RAT con fines delictivos.

Nuevo skimmer de JavaScript empleado por el grupo de ciberdelincuentes Magecart

Recientemente se observó en la naturaleza un nuevo skimmer de JavaScript creado por el grupo de cibercriminales conocido como Magecart, quienes se dedican a vulnerar la seguridad de los sistemas de compras en línea con nuevos métodos y técnicas para capturar información sensible relacionado con datos financieros de las víctimas dentro de sitios web que empleen la plataforma Magento.

Nuevo Phishing-as-a-Service denominado EvilProxy

Recientemente, investigadores identificaron un nuevo phishing como servicio (Phishing-as-a-Service o PhaaS por sus siglas) denominado EvilProxy o Moloch, el cual fue anunciado en foros clandestinos de la Dark web. Esta amenaza permite a los ciberdelincuentes comprometer a usuarios con MFA (Autenticación de múltiples factores) permitido a mayor escala sin la necesidad de infectar servicios anteriores.

Código fuente del troyano acceso remoto CodeRAT expuesto en repositorios de GitHub

CodeRAT, es un troyano de acceso remoto (RAT) el cual está siendo utilizado por los ciberdelincuentes gracias a las grandes capacidades que ofrece esta amenaza; en esta ocasión se identificó que el código fuente de CodeRAT fue filtrado y expuesto en un repositorio de GitHub el cual permite que más ciberdelincuentes puedan adquirirlo permitiendo ejecutar el RAT ofreciendo al usuario remoto una amplia gama capacidades posteriores a la infección.

Nueva actividad maliciosa asociada al troyano bancario Sharkbot

En el ámbito de ciberseguridad, es muy frecuente presenciar campañas maliciosas en donde los ciberdelincuentes implementan programas maliciosos específicamente desarrollados para impactar un sector objetivo; un ejemplo claro de esto, son los troyanos bancarios, los cuales tienen como propósito recopilar información sensible de las victimas relacionadas con entidades financieras.

Nuevas capacidades identificadas en Bumblebee

Bumblebee es un backdoor que desde su creación ha adquirido mucha popularidad entre los ciberdelincuentes debido a sus amplias capacidades, en esta nueva variante presenta alta similitud con BookWorm.

Repositorio abierto permite que ciberdelincuentes adquieran una nueva versión del kit de herramientas conocido como Burntcigar

Recientemente se ha conocido un repositorio abierto que permite descargar un kit de herramientas que tiene la capacidad de deshabilitar las soluciones de seguridad en las infraestructuras tecnológicas, este conjunto de archivos es conocidos como Burntcigar, muy popular por facilitar la entrada de los atacantes al sistema de los equipos.

Prynt Stealer implementa puertas traseras adicionales

El activo más importante para una organización hoy en día es su información, partiendo de esa perspectiva los ciberdelincuentes tienen como principal objetivo capturar esos registros que representan una potencial recompensa económica; en la naturaleza circulan varias ciberamenazas asociadas a diversas familias de stealer entre ellos el ya conocido Prynt Stealer, respecto a este se ha descubierto que sus desarrolladores implantan puertas traseras (backdoors) en sus constructores, esto con el propósito de exfiltrar una copia de la data capturada de las víctimas obtenida en campañas desplegadas previamente empleando esta familia de malware a través de un canal de Telegram.

Nueva actividad maliciosa del troyano bancario Ursnif

Ursnif es un troyano bancario muy utilizado por los ciberdelincuentes, dirigido al sector financiero con el objetivo de capturar información y credenciales bancarias principalmente de los sistemas operativos Windows, aunque el equipo de analistas del Csirt financiero ha reportado esta amenaza en múltiples ocasiones, es relevante comunicar que se identificaron nuevos indicadores de compromiso (IOC), los cuales representan nuevas cargas útiles que están siendo distribuidas y pueden afectar entidades de América Latina.

Un nuevo troyano bancario denominado Zanubis visto en campañas dirigidas a bancos de Latinoamérica

Los actores de amenaza no cesan de generar nuevas familias de malware en la naturaleza, recientemente se rastreó una campaña dirigida al sector financiero de Perú; este ataque fue perpetuado con un nuevo troyano bancario nombrado Zanubis por su clave de descifrado, por otra parte se descubrió que se basa en la explotación de funciones de accesibilidad automatizada del sistema, no obstante continúa en constante desarrollo ya que las muestras vistas en dicha campaña no parecen ser versiones finales, asimismo es evidente que los ciberdelincuentes crearán nuevas campañas hacia bancos de Latinoamérica.

Se identifican nuevos indicadores de compromiso de Nanocore RAT

Nanocore RAT fue identificado por primera vez en el año 2013, y aunque el equipo de analistas del Csirt financiero lo ha reportado en ocasiones anteriores hay que tener en cuenta que en el ámbito del ciberespacio los actores detrás de estas amenazas mantienen constantes actualizaciones de técnicas y tácticas con los buscan generar un impactó en la seguridad de la información de las entidades y organizaciones.

Nuevo stealer denominado Erbium

En el ecosistema de ciberseguridad es muy conocido el termino stealer, el cual es un tipo de malware donde muchas veces es implementado como una técnica para amplificar el rango de afectación de los actores de amenaza. Este programa malicioso se destaca por tener la característica de capturar información sensible almacenada en el equipo comprometido, para luego ser exfiltrada hacia un servidor de comando y control (C2); esta data obtenida, es utilizada por los ciberdelincuentes para realizar actos delictivos como extorsión, fraude bancario, transacciones ilícitas y fuga de datos en foros de la Deep y Dark web.

Nueva versión del rat Asbit emerge con actualizaciones en sus TTP

Los actores de amenaza de origen chino han desarrollado distintas familias de malware a lo largo de estos años algunas más notables que otras, entre estas apareció en el ciberespacio Asbit un RAT que ha estado evolucionando desde ese entonces; se caracteriza por emplear técnicas de evasión sobre los equipos infectados, como DNS sobre HTTPS (DoH) para superar los filtros DNS instaurados en las infraestructuras tecnológicas de sus objetivos.

Nueva campaña maliciosa relacionada al troyano Agent tesla

Agent Tesla, es un troyano el cual ha sido reportado anteriormente por el equipo de analistas del Csirt Financiero, manteniendo el mismo modus operandi los ciberdelincuentes detrás de esta amenaza están realizando constantes campañas y actualizaciones de sus artefactos con el objetivó de generar una infección e impactos más globales en entidades y organizaciones a nivel mundial.

Nuevo ransomware denominado Agenda

El negocio más prolífico en el ecosistema de amenazas en la actualidad es el aumento constante de nuevas familia de tipo ransomware, de ahí que los actores de amenaza se enfoquen en la creación de nuevas variantes o generen actualizaciones constantes de los que están latentes en el ciberespacio; durante el transcurso de esta semana apareció en la naturaleza, un nuevo ransomware denominado Agenda el cual está siendo distribuido en países de Asia y África con el objetivo de afectar infraestructuras críticas principalmente del sector salud y educación.

Nueva campaña asociada a Remcos RAT

De forma reciente se ha detectado una nueva campaña de distribución de Remcos, troyano de acceso remoto que le permite al atacante tomar el control de los equipos infectados, tomar capturas de pantalla, recopilar información asociada a credenciales de acceso, registrar pulsaciones de teclas (keylogger) y enviar toda la data a su comando y control.

Nueva campaña del troyano bancario Guildma

Los troyanos bancarios suelen ser efímeros en el panorama de amenazas no obstante los que cuentan con actualizaciones periódicas, técnicas de ejecución y ataque novedosas suelen prevalecer en el ciberespacio de allí se desprende una amenaza que ha sido prolífica durante los últimos años, se trata de Guildma; recientemente se ha detectado una nueva campaña desplegada en países de Latinoamérica principalmente Brasil y Chile que se está distribuyendo por medio de correos de tipo phishing.

Nueva variante de HavanaCrypt suplanta a actualización de Google

En esta nueva actividad, se ha evidenciado una nueva variante del ransomware denominado HavanaCrypt el cual suplanta a una actualización de Google Chrome con el objetivo de obtener acceso, evadir las herramientas antimalware de los equipos comprometidos y cifrar sus archivos; esta amenaza contiene técnicas sofisticadas de anti-análisis y emplea funciones criptográficas para operar.