Alertas de seguridad

Identificación De Campaña De Phishing Relacionada Con Crowdstrike Y Su Afectación A Sistemas Operativos Windows

El equipo de analistas del Csirt Financiero ha detectado una campaña de phishing que suplanta la identidad de CrowdStrike, la reconocida empresa de ciberseguridad, aprovechando la reciente falla global que afectó sus servicios el día de hoy.

IDAT loader utilizado por el grupo UAC-0184 para distribuir RemcosRAT

Recientemente se ha detectado una campaña maliciosa vinculada al actor de amenazas conocido como UAC-0184, en la que los ciberdelincuentes han distribuido el troyano de acceso remoto RemcosRAT a través del loader IDAT.

IceXLoader retorna con una nueva actualización

IceXLoader es conocido en el ecosistema de ciberseguridad por ser utilizado como un cargador que implementa diversas familias de malware en las campañas maliciosas de los ciberdelincuentes; además, es distribuido a través de foros clandestinos de la Deep y Dark web por el precio de 118 dólares, otorgando una licencia de por vida, lo cual permite que los usuarios puedan usarlo las veces que lo requieran. Anteriormente, se había evidenciado que en su versión 3.0 se encontraba en fase de desarrollo al observar sus comportamientos y actividades.

IcedID apunta a dominios de Active Directory

IceID, en una de sus más recientes campañas maliciosas, se evidenció nuevos comportamientos que llevaron a cabo los actores de amenaza para afectar el dominio de Active Directory de un sistema informático, para esto, utilizaron múltiples técnicas de reconocimiento, recopilación de credenciales, movimiento lateral y la implementación de herramientas legitimas como Cobalt Strike.

Hojas de cálculo Excel implementadas en campañas de malware

En el monitoreo realizado por el Csirt Financiero, se ha identificado la implementación de macros maliciosas en documentos de Microsoft Office Excel para la distribución de malware conocidos como SystemBC y Cobalt Strike. Según las investigaciones que se han realizado a estos documentos maliciosos, permite determinar que han sido propagados mediante campañas de distribución de mensajes de correo electrónico que contienen archivos adjuntos, los cuales, al descargar, descomprimir, acceder y habilitar las macros con contenido malicioso, ejecutan la infección en los equipos de cómputo.

Hoaxcalls, botnet que aprovecha vulnerabilidades en dispositivos Grandstream y DrayTek

El equipo del Csirt Financiero ha identificado una forma en que la botnet Hoaxcalls utiliza las capacidades físicas de routers y dispositivos que proveen sistemas telefónicos para realizar ataques DDoS, utiliza para este propósito, exploits de las vulnerabilidades CVE-2020-8515 y CVE-2020-5722 que se encuentran en dichos dispositivos.

Hidden Cobra y el RAT Blindingcan

En el monitoreo realizado por el Csirt Financiero, se ha identificado una nueva amenaza relacionada con malware de tipo Troyano de Acceso Remoto (RAT) denominado BLINDINGCAN, la cual está asociada al grupo APT Hidden Cobra.

Hidden Cobra implementa nuevos malware en sus ataques

En el monitoreo realizado por el Csirt Financiero, se ha evidenciado nueva actividad del grupo cibercriminal Hidden Cobra también conocido como Lazarus que ha implementado nuevo malware durante la ejecución de sus ataques. En este caso se han identificado y relacionado dos tipos de malware denominados Torisma y LCPDot.

Herramientas utilizadas por el malware Evilnum

En el monitoreo realizado por el equipo del Csirt Financiero a fuentes abiertas, se ha identificado la implementación de nuevas herramientas en el arsenal de EVILNUM, las cuales pueden ser utilizadas para la captura y exfiltración de información

Herramienta MSBuild usada por cibercriminales para ejecutar malware en memoria

En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado una nueva técnica empleada por los cibercriminales para la ejecución de RemcosRAT, QuasarRAT o Redline Stealer.

Herramienta FinSpy utilizada con fines cibercriminales

En el monitoreo realizado a fuentes abiertas de información para la búsqueda de nuevas amenazas o vulnerabilidades que puedan generar impacto en la infraestructura tecnológica de los asociados, el equipo de analistas del Csirt Financiero ha observado un nuevo spyware multiplataforma dirigido a sistemas operativos Windows, Linux y dispositivos móviles.

Herramienta EtterSilent utilizada para diseñar maldoc

En el monitoreo realizado por el equipo del Csirt Financiero, se ha observado la existencia de una nueva herramienta encargada de diseñar y generar archivos maliciosos para propagar diferentes familias de malware como por ejemplo Bazar Loader y TrickBot.

Herramienta de simulación para ataques cibernéticos

Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó nuevos artefactos relacionados a CobaltStrike.

HelloTDS distribuye FakeCaptcha y troyanos a escala global

Durante las actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una campaña activa que utiliza la infraestructura maliciosa conocida como HelloTDS, empleada para distribuir amenazas como FakeCaptcha y otros componentes maliciosos.

Guía de seguridad LockerGoga

LockerGoga, aprovecha un proceso de cifrado para eliminar la capacidad de acceder a archivos y otros datos que pueden almacenarse en sistemas infectados, luego muestra una nota de rescate exigiendo el pago de bitcoin.

Grupos APT Fin8 y Stac4663 aprovechan vulnerabilidad critica en productos de Citrix

Recientemente el equipo del Csirt financiero observó un aumento en los ataques donde diversos grupos de ciberdelincuentes se encuentran explotando la vulnerabilidad CVE-2023-3519 que previamente había sido reportada el mes de julio mediante una Tailored Threat Analysis (TTA) identificada con el ticket I-009510 en donde se dio a conocer la afectación a más de 2.000 productos NetScaler ADC y NetScaler Gateway.

Grupo Ultrarank apunta a sitios de comercio electrónico

En el monitoreo realizado por el Csirt Financiero, se ha identificado la existencia de un grupo cibercriminal conocido como UltraRank, este grupo recientemente ha realizado una docena de campañas dirigidas a sitios de comercio electrónico para exfiltrar los datos de tarjetas crédito y débito haciendo uso de un rastreador JavaScript.

Grupo Tropic Trooper utiliza USBFerry en entornos Air gapped

En el constante monitoreo que realiza el Csirt Financiero, evidenció investigación relacionada con el grupo cibercriminal Tropic Trooper, el cual está empleando dispositivos USB para realizar ataques a infraestructuras de tipo air gapped, con el fin de exfiltrar información confidencial

Grupo TA551 distribuye framework Sliver para acceso inicial

En el monitoreo realizado a fuentes abiertas de información y en la búsqueda de nuevas amenazas o vulnerabilidades que puedan generar impacto en la infraestructura tecnológica de los asociados, el equipo de analistas del Csirt Financiero ha identificado una campaña por parte del grupo TA551 conocido también como Shathak. Este grupo se enfoca en obtener acceso inicial a los sistemas objetivo, recientemente han utilizado el framework de simulación de adversarios y Red Team llamado SLIVER.

Grupo TA2101 (campaña de distribución de IcedID y MAZE)

A través del observatorio de amenazas del CSIRT Financiero, se ha identificado actividad reciente acerca de un nuevo grupo denominado TA2101. Este nuevo APT, ha protagonizado una serie de campañas de tipo malspam y phishing, utilizando la imagen de entidades y organizaciones de Alemania, Italia y Estados Unidos. Hasta el momento no se tiene estipulado a que línea de usuarios buscan afectar, no obstante, han utilizado variantes del ransomware Maze y el troyano bancario IcedID en sus campañas.

Alertas de seguridad

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.