-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}
Para información más detallada por favor revise su suscripción ante el CSIRT.
NUEVA CAMPAÑA DE RONDODOX EXPLOTA VULNERABILIDAD CRÍTICA EN HPE ONEVIEW
Publicado: 20/01/2026 | Importancia: Media
Durante actividades de monitoreo y análisis realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña activa asociada a la botnet RondoDox, la cual se ha centrado en la explotación de una vulnerabilidad crítica registrada como CVE-2025-37164, que afecta a HPE OneView. Esta falla, ubicada en el endpoint executeCommand de la API REST, permite la ejecución de comandos sin autenticación, lo que facilita que la botnet envíe cargas maliciosas y amplifique la actividad de explotación mediante procesos completamente automatizados. La campaña mostró un incremento significativo en el volumen de intentos, afectando principalmente sistemas expuestos a Internet y reflejando un riesgo real para organizaciones que aún no han aplicado las medidas de mitigación correspondientes.
Actualización de Windows provoca errores de autenticación en entornos de Escritorio Remoto
Publicado: 19/01/2026 | Importancia: Alta
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente actividad relacionada con una actualización de seguridad de Microsoft que genera fallos en conexiones de Escritorio Remoto en equipos Windows.
Campaña ClickFix/CrashFix orientada a entornos corporativos
Publicado: 18/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña maliciosa activa que emplea una variante de la técnica de ingeniería social conocida como ClickFix, denominada CrashFix, para comprometer sistemas a través de extensiones de navegador fraudulentas.
Nuevo stealer distribuido mediante software pirata y crypters modulares
Publicado: 18/01/2026 | Importancia: Media
El equipo de analistas ha identificado una campaña activa orientada al compromiso de equipos mediante la distribución del stealer Aura, una nueva amenaza ofrecida como servicio que permite a los ciberdelincuentes capturar información sensible almacenada en navegadores, clientes de mensajería, gestores de correo y billeteras de criptomonedas
Nueva actividad de Emotet orientada a la distribución de amenazas adicionales
Publicado: 18/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente actividad del troyano Emotet, caracterizada por su capacidad de autopropagación y su rol como distribuidor de otras amenazas.
Nueva actividad asociada a la botnet Mirai
Publicado: 17/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una actividad maliciosa asociada a la botnet Mirai, caracterizada por el uso de un script Bash con capacidades de dropper multiarquitectura.
Gootloader y su evolución como vector de acceso inicial
Publicado: 16/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una evolución en la operativa de Gootloader, un malware utilizado como vector de acceso inicial para la distribución de amenazas más avanzadas.
Nueva campaña de Botnet GoBruteforcer compromete servicios FTP, MySQL y phpMyAdmin
Durante actividades de monitoreo y análisis realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña activa asociada a la botnet GoBruteforcer, orientada a comprometer servidores Linux expuestos a Internet mediante ataques de fuerza bruta contra credenciales débiles y configuraciones por defecto.
Campaña activa distribuye QuasarRAT mediante técnicas de ingeniería social
Publicado: 15/01/2026 | Importancia: Media
El equipo de analistas ha identificado una campaña activa orientada al compromiso de equipos mediante la distribución del troyano de acceso remoto QuasarRAT, una herramienta ampliamente utilizada por grupos de cibercriminales para establecer control persistente sobre los sistemas comprometidos, facilitar la exfiltración de datos y ejecutar acciones encubiertas a través de infraestructura remota
Nueva campaña de malware basada en extensiones de navegador captura y exfiltra claves API
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña asociada a una amenaza financiera basada en extensiones maliciosas de navegador, orientada a capturar de claves API en plataformas de intercambio de criptomonedas. La campaña aprovecha sesiones web legítimas ya autenticadas para facilitar la captura de credenciales con permisos críticos, lo que habilita la toma de control programático de cuentas y la ejecución de operaciones financieras no autorizadas.
Campaña activa distribuye AsyncRAT mediante phishing y cargas en python
Publicado: 13/01/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado una campaña activa que distribuye AsyncRAT, un troyano de acceso remoto empleado por ciberdelincuentes para establecer control persistente sobre equipos comprometidos, ejecutar comandos remotos y desplegar cargas adicionales.
Nuevas actividades asociadas a LummaStealer
Publicado: 13/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó nueva actividad de LummaStealer, un malware comercializado bajo el modelo de Malware-as-a-Service (MaaS).
Campaña de phishing distribuye Guloader y habilita acceso remoto mediante Remcos RAT
Publicado: 11/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente campaña que utiliza correos de phishing con supuestos informes de desempeño laboral como señuelo para distribuir la amenaza Guloader y, en una etapa posterior, instalar el troyano de acceso remoto Remcos RAT en equipos comprometidos.
Campaña activa distribuye HijackLoader mediante phishing
Publicado: 11/01/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado una campaña activa de HijackLoader, un loader modular que se distribuye mediante campañas de phishing dirigidas a entornos empresariales, financieros y gubernamentales, utilizando mensajes de correo electrónico con archivos ZIP maliciosos que contienen ejecutables legítimos y DLL manipuladas.
Campaña mediante extensiones de Chrome expone conversaciones con servicios de IA
Publicado: 10/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente campaña basada en extensiones maliciosas de Google Chrome que se hacen pasar por herramientas legítimas para interactuar con servicios de inteligencia artificial como ChatGPT y DeepSeek.
Campaña activa explota servidores proxy mal configurados
Publicado: 10/01/2026 | Importancia: Media
Durante actividades de monitoreo y seguimiento de amenazas, el equipo de analistas del Csirt Financiero se identificó una campaña activa en la que ciberdelincuentes están abusando de servidores proxy expuestos o mal configurados para obtener acceso no autorizado a servicios de modelos de lenguaje LLM de pago en la nube.
Campaña del grupo APT Muddy Water basada en documentos con macros
Publicado: 10/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente campaña atribuida al grupo APT Muddy Water, dirigida a organizaciones del Medio Oriente con un interés destacado en el sector financiero, así como en entidades diplomáticas, marítimas y de telecomunicaciones.
Campaña activa de explotación de vulnerabilidades críticas en VMware ESXi
Publicado: 09/01/2026 | Importancia: Media
Durante actividades de monitoreo y seguimiento de amenazas, el equipo de analistas del Csirt Financiero identificó una campaña activa de intrusión avanzada orientada al compromiso de infraestructuras virtualizadas VMware ESXi, mediante el uso de técnicas de VM Escape explotadas en entornos productivos.
Actividad maliciosa de la botnet Kimwolf dirigida a dispositivos Android
Publicado: 09/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva actividad atribuida a la botnet Kimwolf en la que ha logrado comprometer más de 2 millones de dispositivos Android alrededor del mundo, transformándose en una de las amenazas más extendidas y multifacéticas observadas en los últimos meses.
Campaña Ghost Tap orientada a transacciones contactless mediante aplicaciones Android
Publicado: 09/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente campaña conocida como Ghost Tap, basada en aplicaciones Android denominadas TX NFC, X NFC y NFU Pay, utilizadas para abusar de la funcionalidad NFC y ejecutar pagos contactless sin autorización.
Nueva campaña del troyano bancario Astaroth utiliza Whatsapp Web para su propagación.
Publicado: 08/01/2026 | Importancia: Media
Durante actividades de monitoreo y seguimiento de amenazas, el equipo de analistas del Csirt Financiero identificó una campaña asociada al troyano bancario Astaroth, la cual incorpora un mecanismo de propagación automatizada mediante WhatsApp Web. Esta campaña, observada principalmente en Brasil, se caracteriza por el uso intensivo de técnicas de ingeniería social y por el aprovechamiento de canales de mensajería basados en confianza para facilitar la distribución del troyano.
Nuevo troyano NodeCordRAT distribuido a través de paquetes maliciosos en npm
Publicado: 08/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente actividad asociada a un nuevo troyano de acceso remoto denominado NodeCordRAT, el cual es distribuido mediante paquetes maliciosos en el repositorio npm.
Nueva campaña de ataque a infraestructura Linux Cloud denominado VoidLink.
Publicado: 12/01/2026 | Importancia: Media
Durante actividades de monitoreo y seguimiento de amenazas, el equipo de analistas del Csirt Financiero identificó VoidLink, un malware diseñado para sistemas Linux y entornos cloud que se caracteriza por su arquitectura modular, su capacidad de adaptarse dinámicamente al entorno de ejecución y el uso de técnicas de ocultamiento y persistencia.
Nueva campaña distribuye DeVixor mediante sitios falsos y archivos APK maliciosos.
Publicado: 12/01/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado una campaña activa que distribuye DeVixor, un troyano bancario dirigido a dispositivos Android.
SHADOW#REACTOR: nueva campaña que despliega Remcos RAT
Publicado: 13/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva campaña maliciosa avanzada denominada SHADOW#REACTOR, la cual emplea una cadena de infección cuidadosamente diseñada para desplegar el troyano de acceso remoto Remcos RAT en sistemas Windows.
Nueva campaña de ClickFix facilita la ejecución de DCRat mediante MSBuild
Publicado: 07/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó la campaña PHALT#BLYX (ClickFix), una amenaza de ingeniería social que se distribuye mediante correos de phishing que suplantan comunicaciones legítimas de servicios de reservas hoteleras. Los mensajes redirigen a las víctimas a sitios web fraudulentos que replican fielmente la interfaz del servicio suplantado, donde se despliegan errores falsos del navegador, CAPTCHA fraudulentos y la simulación a pantalla completa de una Pantalla Azul de la Muerte (BSOD).
Campaña dirigida contra dispositivos FortiWeb mediante vulnerabilidades y uso de Sliver C2
Publicado: 05/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña dirigida contra dispositivos FortiWeb expuestos a Internet, en la cual un ciberdelincuente explota vulnerabilidades conocidas y potencialmente no divulgadas para obtener acceso inicial y desplegar a Sliver C2, una herramienta de acceso remoto utilizada como framework de postexploitation. A través de este mecanismo, el ciberdelincuente logra establecer control persistente y encubierto sobre los sistemas comprometidos, aprovechando que este tipo de dispositivos perimetrales suele carecer de capacidades avanzadas de detección.
Campaña activa distribuye BlihanStealer mediante phishing
Publicado: 04/01/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado una campaña activa asociada a BlihanStealer, una amenaza de tipo stealer orientada a la captura silenciosa de credenciales y la exfiltración de información sensible.
VVS Stealer: malware de espionaje enfocado en la exfiltración de datos sensibles
Publicado: 04/01/2026 | Importancia: Media
Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó un malware denominado VVS Stealer, una familia tipo stealer desarrollada en Python y orientada principalmente a la captura de credenciales, tokens y datos sensibles asociados a la plataforma Discord.
Campaña asociada a ACRStealer mediante distribución de software pirata
Publicado: 04/01/2026 | Importancia: Media
El equipo de analistas del Csirt Financiero ha identificado una campaña activa asociada a ACRStealer, un stealer orientado a la captura de credenciales y datos de sesión en entornos empresariales, financieros, industriales y gubernamentales.