-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}
Para información más detallada por favor revise su suscripción ante el CSIRT.
Nueva campaña de DEV#POPPER se distribuye mediante versiones comprometidas de Joyfill
Publicado: 28/07/2026 | Importancia:
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada a DEV#POPPER, una amenaza diseñada para proporcionar acceso remoto y ejecutar instrucciones sobre sistemas comprometidos. La campaña se relaciona con código malicioso incorporado dentro de componentes legítimos.
MedusaHVNC evoluciona mediante técnicas de Hidden Desktop y control remoto
Publicado: 28/07/2026 | Importancia:
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva variante de MedusaHVNC, un troyano de acceso remoto (RAT) que incorpora capacidades de Hidden Virtual Network Computing (HVNC) para crear escritorios ocultos dentro del sistema operativo Windows
Nueva campaña utiliza Cruciferra para ocultar y ejecutar cargas maliciosas
Publicado: 27/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada con Cruciferra, un servicio malicioso utilizado para proteger, transformar y ejecutar cargas de diferentes familias de malware.
Nueva campaña asociada a VIPKeyLogger
Publicado: 26/07/2026 | Importancia: Media
Durante recientes actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó nueva actividad asociada a VIPKeyLogger, un Keylogger desarrollado sobre la plataforma .NET cuyo principal objetivo consiste en obtener credenciales, registrar la actividad del usuario y recopilar información sensible de los equipos comprometidos.
OPERATION BLUEDASH: campaña maliciosa emplea una actualización falsa de microsoft teams para establecer acceso remoto persistente
Publicado: 26/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó la campaña Operation BlueDash, una operación de ingeniería social que emplea una falsa actualización de Microsoft Teams para comprometer equipos Windows.
Nueva campaña de Dolphin X combina capacidades de infostealer y RAT para comprometer entornos Windows
Publicado: 25/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada a Dolphin X, una amenaza para sistemas Windows que integra funciones de captura de información y administración remota. Su diseño busca centralizar diferentes capacidades dentro de una misma plataforma, permitiendo al ciberdelincuente configurar el archivo malicioso, establecer su infraestructura C2, definir la ruta de instalación y seleccionar mecanismos de persistencia y evasión antes de desplegarlo.
Campaña de phishing distribuye Phantom Stealer mediante archivos JavaScript ofuscados
Publicado: 25/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del CSIRT financiero, se observó una campaña activa orientada a la distribución de Phantom Stealer v3.5.0, un malware especializado en la captura de información que utiliza campañas de phishing con temática empresarial para comprometer equipos Windows.
HollowGraph: malware de espionaje que utiliza microsoft 365 y el calendario de outlook como canal de comando y control (c2)
Publicado: 24/07/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero identificó, la amenaza denominada HollowGraph, un malware de ciberespionaje dirigido a sistemas Windows que utiliza servicios legítimos de Microsoft 365.
Nueva campaña FakeAgent distribuye SectopRAT mediante falsas descargas de Claude Desktop
Publicado: 23/07/2026 | Importancia:
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña de publicidad maliciosa denominada FakeAgent, empleada para distribuir el troyano de acceso remoto SectopRAT. La actividad utilizó una aplicación falsa de Claude Desktop como señuelo y aprovechó recursos alojados inicialmente en el dominio legítimo Claude.ai para incrementar la confianza de los usuarios y reducir las sospechas relacionadas con la descarga.
Nueva campaña denominada “Fakegit” utiliza repositorios de Github para propagar Smartloader.
Publicado: 21/07/2026 | Importancia:
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una campaña maliciosa denominada FakeGit, la cual emplea repositorios fraudulentos alojados en GitHub para distribuir SmartLoader.
Nueva campaña HelloNet utiliza ViPNet para desplegar múltiples módulos maliciosos
Publicado: 20/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña maliciosa denominada HelloNet. La campaña utiliza una arquitectura modular, en la que cada componente cumple una función específica dentro de la cadena de ejecución, comunicación, reconocimiento y ocultamiento de actividad.
Nueva actividad asociada a NanoCore RAT
Publicado: 19/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero se ha observado que NanoCore RAT continúa siendo utilizado activamente por ciberdelincuentes como una plataforma de acceso remoto capaz de comprometer equipos Windows y proporcionar control prácticamente total sobre los sistemas afectados.
Seguimiento de actividad maliciosa asociada con el troyano de acceso remoto NjRAT
Publicado: 18/07/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado actividad maliciosa asociada con NjRAT, también conocido como Bladabindi, un RAT ampliamente utilizado por ciberdelincuentes para obtener acceso remoto no autorizado a equipos comprometidos.
Nuevo troyano modular TELEPUZ se distribuye mediante cadena ClickFix y el infostealer VIDAR
Publicado: 16/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente actividad del troyano modular TELEPUZ, en desarrollo activo desde finales de abril de 2026.
Actualización de la botnet TuxBot otorga capacidades de propagación y ataques DDoS.
Publicado: 16/07/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero identificó TuxBot v3 Evolution, una botnet IoT de nueva generación desarrollada para comprometer dispositivos Linux conectados a Internet.
Nueva campaña de ClickLock Stealer compromete usuarios de macOS mediante la técnica ClickFix
Publicado: 16/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una nueva campaña asociada a ClickLock Stealer, una amenaza modular diseñada para comprometer sistemas macOS, capturar información sensible y establecer acceso remoto persistente.
Nueva campaña utiliza LabubaRAT para obtener acceso remoto a sistemas Windows
Publicado: 15/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una nueva campaña asociada con LabubaRAT, una herramienta de acceso remoto (RAT) desarrollada en Rust y diseñada para comprometer sistemas operativos Windows.
Nueva campaña ClickFix utiliza un sitio legítimo comprometido para desplegar un RAT
Publicado: 13/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva campaña de ClickFix que comprometió el subdominio new-blog.artlist[.]io, perteneciente a la plataforma de contenido digital Artlist, mediante la inyección de código JavaScript malicioso en las plantillas del sitio.
Nueva campaña distribuye CrashStealer para comprometer dispositivos macOS
Publicado: 13/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada CrashStealer, una familia de malware orientada a dispositivos con sistema operativo macOS la cual se presenta como una aplicación aparentemente legítima y suplanta componentes relacionados con el sistema de reportes de fallos de Apple, utilizando nombres, identificadores y rutas que buscan reducir la sospecha de la víctima durante su ejecución.
Nueva campaña de RedHook amplía sus capacidades de acceso remoto en dispositivos Android
Publicado: 13/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada a RedHook, un troyano de acceso remoto dirigido a dispositivos Android que ha reaparecido con mejoras en sus mecanismos de control, persistencia y obtención de privilegios. La amenaza conserva funcionalidades comunes de los troyanos móviles, como la captura de pulsaciones, la supervisión de pantalla y la recopilación de información sensible.
Seguimiento de la actividad asociada a los troyanos de acceso remoto XWorm y QuasarRAT
Publicado: 12/07/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero realiza seguimiento a la actividad asociada con los troyanos de acceso remoto XWorm y Quasar RAT, amenazas utilizadas por ciberdelincuentes en campañas dirigidas contra organizaciones de diversos sectores a nivel global.
GigaWiper: puerta trasera en Golang que integra borrado de disco, ransomware simulado y sabotaje de sistema
Publicado: 11/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente actividad de la puerta trasera GigaWiper, un implante desarrollado en Golang identificado desde octubre de 2025, que combina capacidades robustas de comando y control con múltiples cargas destructivas, incluyendo borrado de disco, un ransomware simulado y sabotaje a nivel de sistema operativo, integradas como comandos ejecutables bajo demanda dentro de un mismo binario.
Nueva campaña maliciosa asociada a Salat Stealer
Publicado: 11/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva campaña de distribución de Salat Stealer, un malware para Windows desarrollado en Go y orientado a la captura de información, vigilancia y exfiltración de datos.
Operation Phnom Penh: nueva campaña de Silver Fox distribuye el RAT MODBEACON
Publicado: 10/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña vinculada a un distribuidor del ecosistema Silver Fox / UTG-Q-1000, caracterizado históricamente por distribuir instaladores de software falsificados mediante campañas de SEO poisoning.
Nueva campaña de GodDamn ransomware combina captura de credenciales, acceso remoto y cifrado de sistemas
Publicado: 09/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva campaña asociada a GodDamn, una variante de ransomware vinculada al ecosistema de amenazas desarrollado por Hyadina. Esta amenaza ha sido identificada como una evolución o rebranding de Beast, familia que previamente derivó de Monster. Esta campaña evidencia que los ciberdelincuentes detrás de la amenaza han mantenido una línea de desarrollo activa, incorporando nuevas capacidades para mejorar la evasión, el control del entorno comprometido y la efectividad del cifrado.
Nueva campaña Scmbanker combina vishing, secuestro de portapapeles y acceso remoto contra banca mexicana
Publicado: 08/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente campaña identificada como REF6045, que distribuye el toolkit de fraude bancario SCMBANKER contra clientes de banca minorista, banca empresarial, fintechs, procesadores de pago y exchanges de criptomonedas en México.
Nueva campaña APT UAT-7810 utiliza backdoors LONGLEASH, DOGLEASH y JARLEASH contra sistemas linux
Publicado: 07/07/2026 | Importancia: Media
Durante las actividades de monitoreo realizadas por el equipo de analistas del Csirt financiero, se identificó una campaña orientada al compromiso de dispositivos de red expuestos, con el objetivo de integrarlos a una red ORB (Una red ORB es una infraestructura compuesta por dispositivos comprometidos que son usados como puntos intermedios para retransmitir tráfico malicioso).
Nueva actividad de ToddyCat incorpora Umbrij para comprometer cuentas corporativas
Publicado: 07/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva campaña atribuida al grupo APT ToddyCat, en la que los ciberdelincuentes desarrollaron una herramienta personalizada denominada Umbrij para comprometer cuentas corporativas alojadas en Gmail.
RedWing, amenaza para Android que combina control remoto y fraude bancario mediante superposiciones
Publicado: 07/07/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente campaña de la amenaza RedWing, un spyware bancario para dispositivos Android ofrecido bajo el modelo Malware as a Service (MaaS), distribuido a través de Telegram con posibles vínculos a actores de amenaza rusos.
Nueva campaña del grupo APT Turla utiliza Kazuar backdoor y cargadores PowerShell
Publicado: 06/07/2026 | Importancia: Media
Durante las actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una campaña Kazuar, un backdoor vinculado al grupo APT Turla. Esta amenaza se destaca por su enfoque sigiloso, su capacidad para permanecer activa dentro de entornos comprometidos y su uso de técnicas orientadas a dificultar la detección mediante controles tradicionales.