Nueva campaña de distribución de RemcosRATReporte de un mensaje de correo electrónico, aparentemente originado por la Fundación Cielo Azul Bogotá, con el asunto “INFORMACION FUNDACION” que a través del enlace realiza la descarga de RemcosRAT.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-campana-de-distribucion-de-remcosrathttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Reporte de un mensaje de correo electrónico, aparentemente originado por la Fundación Cielo Azul Bogotá, con el asunto “INFORMACION FUNDACION” que a través del enlace realiza la descarga de RemcosRAT.
Nefilim / Nephilim Ransomware, sucesor de Nemty ransomwareEl equipo del Csirt Financiero ha identificado una nueva variante de Nemty Ransomware denominado Nefilim o Nephilim Ransomware, la cual tiene por objetivo cifrar la información confidencial y exfiltrarla para extorsionar a las empresas vulneradas. En la última campaña realizada se enfocó en empresas privadas como refinerías petroleras, de ingeniería y de construcción.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nefilim-nephilim-ransomware-sucesor-de-nemty-ransomwarehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado una nueva variante de Nemty Ransomware denominado Nefilim o Nephilim Ransomware, la cual tiene por objetivo cifrar la información confidencial y exfiltrarla para extorsionar a las empresas vulneradas. En la última campaña realizada se enfocó en empresas privadas como refinerías petroleras, de ingeniería y de construcción.
Malware Evilnum con modificaciones para atacar al sector financieroEl equipo del Csirt Financiero ha identificado una campaña de ataques a empleados y usuarios de entidades financieras extranjeras con una versión mejorada del malware Evilnum, el cual tiene la capacidad de cargar y descargar archivos, recolectar cookies de seguimiento y ejecutar comandos arbitrarios en el equipo comprometido.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/malware-evilnum-con-modificaciones-para-atacar-al-sector-financierohttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado una campaña de ataques a empleados y usuarios de entidades financieras extranjeras con una versión mejorada del malware Evilnum, el cual tiene la capacidad de cargar y descargar archivos, recolectar cookies de seguimiento y ejecutar comandos arbitrarios en el equipo comprometido.
Vulnerabilidades de seguridad de SaltStack Salt en VMware vRealize Operations ManagerSe han evidenciado dos vulnerabilidades importantes de seguridad en SaltStack Salt de VMware vRealize Operations Manager, las cuales permiten el acceso sin autenticación de un agente remoto y recorrer el directorio de forma arbitraria.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-de-seguridad-de-saltstack-salt-en-vmware-vrealize-operations-managerhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Se han evidenciado dos vulnerabilidades importantes de seguridad en SaltStack Salt de VMware vRealize Operations Manager, las cuales permiten el acceso sin autenticación de un agente remoto y recorrer el directorio de forma arbitraria.
Vulnerabilidades críticas en Oracle iPlanet Web Server 7.0.El equipo del Csirt Financiero ha identificado múltiples problemas de seguridad en servidores web iPlanet Web Server 7,0 los cuales ya no cuentan con soporte y actualmente hay 20 servidores en Colombia que ejecutan la versión afectada. Estas vulnerabilidades permiten la exposición de datos confidenciales y la inyección de imágenes para modificar los dominios web.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-criticas-en-oracle-iplanet-web-server-7-0http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado múltiples problemas de seguridad en servidores web iPlanet Web Server 7,0 los cuales ya no cuentan con soporte y actualmente hay 20 servidores en Colombia que ejecutan la versión afectada. Estas vulnerabilidades permiten la exposición de datos confidenciales y la inyección de imágenes para modificar los dominios web.
Nuevo malware puede exfiltrar datos de sistemas Air-Gapped manipulando la fuente de poder.En el constante monitoreo que realiza el Csirt Financiero se observó un nuevo malware denominado POWER-SUPPLaY con la capacidad de exfiltrar información confidencial de equipos en sistemas Air-Gapped, manipulando la frecuencia de conmutación interna de una fuente de alimentación para reproducir sonidos y usarlo como un altavoz secundario.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-malware-puede-exfiltrar-datos-de-sistemas-air-gapped-manipulando-la-fuente-de-poderhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo que realiza el Csirt Financiero se observó un nuevo malware denominado POWER-SUPPLaY con la capacidad de exfiltrar información confidencial de equipos en sistemas Air-Gapped, manipulando la frecuencia de conmutación interna de una fuente de alimentación para reproducir sonidos y usarlo como un altavoz secundario.
Nueva variante de un troyano bancario de origen brasileñoDesde el Csirt Financiero se ha detectado una nueva campaña dirigida a usuarios localizados en Portugal. Dicha campaña está distribuyendo una nueva variante de un troyano bancario de origen brasileño, el cual tiene como objetivo la superposición de ventanas en el navegador del usuario para la exfiltración de las credenciales bancarias.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-variante-de-un-troyano-bancario-de-origen-brasilenohttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se ha detectado una nueva campaña dirigida a usuarios localizados en Portugal. Dicha campaña está distribuyendo una nueva variante de un troyano bancario de origen brasileño, el cual tiene como objetivo la superposición de ventanas en el navegador del usuario para la exfiltración de las credenciales bancarias.
Indicadores de compromiso relacionados al grupo APT Silence.El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con campañas de ataques perpetrados por el grupo cibercriminal Silence, el cual tiene como objetivo suplantar entidades financieras en mensajes de correo electrónico haciendo que los empleados de dichas entidades descarguen archivos adjuntos maliciosos y exfiltrar información financiera confidencial.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/indicadores-de-compromiso-relacionados-al-grupo-apt-silencehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con campañas de ataques perpetrados por el grupo cibercriminal Silence, el cual tiene como objetivo suplantar entidades financieras en mensajes de correo electrónico haciendo que los empleados de dichas entidades descarguen archivos adjuntos maliciosos y exfiltrar información financiera confidencial.
Actualización del ransomware SodinokibiInvestigadores han detectado una nueva actualización del ransomware Sodinokibi, consistente en el uso de la API llamada ‘Windows Restart Manager’, con el fin de cerrar o apagar los procesos de los servicios que tienen abiertos o bloqueados los archivos y así poder cifrar una mayor cantidad de archivos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/actualizacion-del-ransomware-sodinokibihttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Investigadores han detectado una nueva actualización del ransomware Sodinokibi, consistente en el uso de la API llamada ‘Windows Restart Manager’, con el fin de cerrar o apagar los procesos de los servicios que tienen abiertos o bloqueados los archivos y así poder cifrar una mayor cantidad de archivos.
Nuevos indicadores de compromiso asociados a DridexDesde el Csirt Financiero se han identificado nuevos indicadores de compromiso asociados a una nueva campaña de malspam mediante la cual se distribuye al troyano Dridex, también conocido como Cridex, diseñado para capturar información financiera e introducir al equipo infectado en una botnet.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-dridexhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se han identificado nuevos indicadores de compromiso asociados a una nueva campaña de malspam mediante la cual se distribuye al troyano Dridex, también conocido como Cridex, diseñado para capturar información financiera e introducir al equipo infectado en una botnet.
Actualizaciones de seguridad para Adobe DNG, Acrobat y ReaderDentro del constante monitoreo que realiza el equipo del Csirt Financiero, se identificaron 36 vulnerabilidades en Adobe DNG, Acrobat y Reader, que podrían permitir a un ciberdelincuente la interrupción de la disponibilidad de los servicios e incluso la exfiltración de información.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/actualizaciones-de-seguridad-para-adobe-dng-acrobat-y-readerhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Dentro del constante monitoreo que realiza el equipo del Csirt Financiero, se identificaron 36 vulnerabilidades en Adobe DNG, Acrobat y Reader, que podrían permitir a un ciberdelincuente la interrupción de la disponibilidad de los servicios e incluso la exfiltración de información.
Servicios expuestos en ColombiaEl Csirt Financiero se encuentra monitoreando diferentes fuentes de información públicas relacionadas con las infraestructuras que se localizan en la región, verificando un alto crecimiento del teletrabajohttp://www.csirtasobancaria.com/Plone/alertas-de-seguridad/servicios-expuestos-en-colombia-4http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El Csirt Financiero se encuentra monitoreando diferentes fuentes de información públicas relacionadas con las infraestructuras que se localizan en la región, verificando un alto crecimiento del teletrabajo
Spyware Mandrake, malware sin detección por más de 4 añosEn el constante monitoreo que realiza el equipo del Csirt Financiero se han identificado campañas de infección del malware Mandrake, el cual es un spyware que había pasado desapercibido por más de 4 años, creando múltiples aplicaciones Android para tomar control total del dispositivo exfiltrando los datos sensibles.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/spyware-mandrake-malware-sin-deteccion-por-mas-de-4-anoshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo que realiza el equipo del Csirt Financiero se han identificado campañas de infección del malware Mandrake, el cual es un spyware que había pasado desapercibido por más de 4 años, creando múltiples aplicaciones Android para tomar control total del dispositivo exfiltrando los datos sensibles.
Copperhedge, Taintedscribe y Pebbledash, malware distribuido por Hidden CobraEl equipo del Csirt Financiero ha identificado indicadores de compromiso de nuevos malware asociados al grupo APT Hidden Cobra (conocidos también con el nombre de Lazarus), este grupo de ciberdelincuentes ha sido protagonista de ataques en los que han obtenido grandes sumas de dinero de entidades financieras en todo el mundo; ahora agregaron a su arsenal de malware los troyanos Copperhedge, Taintedscribe y Pebbledas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/copperhedge-taintedscribe-y-pebbledash-malware-distribuido-por-hidden-cobrahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado indicadores de compromiso de nuevos malware asociados al grupo APT Hidden Cobra (conocidos también con el nombre de Lazarus), este grupo de ciberdelincuentes ha sido protagonista de ataques en los que han obtenido grandes sumas de dinero de entidades financieras en todo el mundo; ahora agregaron a su arsenal de malware los troyanos Copperhedge, Taintedscribe y Pebbledas.
Nuevos indicadores de compromiso asociados a IcedIDA través del continuo monitoreo realizado por el equipo del Csirt Financiero a nuevos vectores de amenazas, se han identificado nuevos indicadores de compromiso asociados a IcedID, troyano con capacidades para expandirse a través de la red, monitorear la actividad del navegador web mediante la configuración de un proxy local con el fin de crear un túnel de tráfico.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-icedid-1http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del continuo monitoreo realizado por el equipo del Csirt Financiero a nuevos vectores de amenazas, se han identificado nuevos indicadores de compromiso asociados a IcedID, troyano con capacidades para expandirse a través de la red, monitorear la actividad del navegador web mediante la configuración de un proxy local con el fin de crear un túnel de tráfico.
Nuevo grupo Vendetta afecta organizaciones de Europa y LatinoaméricaEl nuevo grupo de ciberdelincuentes denominado Vendetta, interactúa con las víctimas mediante mensajes de correo electrónico tipo phishing, suplantando autoridades de Europa y México con cartas de investigación relacionada a un aviso de detección de COVID-19, estos documentos señuelos ejecutan puertas traseras e instalan malware en la memoria del equipo comprometido.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-grupo-vendetta-afecta-organizaciones-de-europa-y-latinoamericahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El nuevo grupo de ciberdelincuentes denominado Vendetta, interactúa con las víctimas mediante mensajes de correo electrónico tipo phishing, suplantando autoridades de Europa y México con cartas de investigación relacionada a un aviso de detección de COVID-19, estos documentos señuelos ejecutan puertas traseras e instalan malware en la memoria del equipo comprometido.
Nueva campaña utilizando el troyano adwind ratDesde el Csirt Financiero se ha evidenciado una nueva campaña contra entidades bancarias localizadas en la India, en los ataques se ha utilizado el troyano Adwind RAT. Este malware está programado en Java y permite ejecución multiplataforma sin distinción del sistema operativo, siempre y cuando cuente con Java instalado.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-campana-utilizando-el-troyano-adwind-rathttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se ha evidenciado una nueva campaña contra entidades bancarias localizadas en la India, en los ataques se ha utilizado el troyano Adwind RAT. Este malware está programado en Java y permite ejecución multiplataforma sin distinción del sistema operativo, siempre y cuando cuente con Java instalado.
Grupo Tropic Trooper utiliza USBFerry en entornos Air gappedEn el constante monitoreo que realiza el Csirt Financiero, evidenció investigación relacionada con el grupo cibercriminal Tropic Trooper, el cual está empleando dispositivos USB para realizar ataques a infraestructuras de tipo air gapped, con el fin de exfiltrar información confidencialhttp://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-tropic-trooper-utiliza-usbferry-en-entornos-air-gappedhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo que realiza el Csirt Financiero, evidenció investigación relacionada con el grupo cibercriminal Tropic Trooper, el cual está empleando dispositivos USB para realizar ataques a infraestructuras de tipo air gapped, con el fin de exfiltrar información confidencial
Ransomware ProLock y troyano Qakbot en trabajo colaborativoEl ransomware ProLock se asocia con el conocido troyano bancario Qakbot para ingresar a la red interna, sustraer datos confidenciales, cifrarlos y cobrar un rescate para la devolución de la información exfiltrada. Las nuevas capacidades de Qakbot, convierten este ataque colaborativo en una amenaza persistente, con movimiento lateral para alcanzar más víctimas.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/ransomware-prolock-y-troyano-qakbot-en-trabajo-colaborativohttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El ransomware ProLock se asocia con el conocido troyano bancario Qakbot para ingresar a la red interna, sustraer datos confidenciales, cifrarlos y cobrar un rescate para la devolución de la información exfiltrada. Las nuevas capacidades de Qakbot, convierten este ataque colaborativo en una amenaza persistente, con movimiento lateral para alcanzar más víctimas.
Análisis técnico de amenaza Defensor IDDesde el Csirt Financiero ha evidenciado un nuevo malware, dirigido principalmente a los usuarios de entidades bancarias localizadas en Brasil. El troyano bancario para dispositivos Android se ha denominado Defensor ID, nombre que utiliza la aplicación para su descarga.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/analisis-tecnico-de-amenaza-defensor-idhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero ha evidenciado un nuevo malware, dirigido principalmente a los usuarios de entidades bancarias localizadas en Brasil. El troyano bancario para dispositivos Android se ha denominado Defensor ID, nombre que utiliza la aplicación para su descarga.