Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Explotación de la vulnerabilidad de Pulse Secure VPN.

Se evidencia que ciberdelincuentes están explotando la vulnerabilidad identificada con CVE-2019-11510 a través del acceso a la red por dispositivos VPN, esto con el fin de capturar credenciales del directorio activo y una vez dentro, obtener información de archivos confidenciales los cuales serían comercializados posteriormente en foros del mercado negro.

Explotación de la vulnerabilidad CVE-2025-59287 en WSUS permite la distribución de Skuld Stealer

Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente actividad asociada a Skuld Stealer, distribuido mediante la explotación de una vulnerabilidad crítica en el servicio Windows Server Update Service (WSUS), identificada como CVE-2025-59287.

Exploits Zero day dirigidos a servidores Exchange

En el monitoreo realizado por el Csirt Financiero a fuentes abiertas, se han evidenciado ataques mediante exploits dirigidos a Microsoft Exchange Server, con el propósito de acceder a los servidores de Exchange locales. De esta manera, se exfiltran cuentas de correo electrónico, además de instalar malware adicional para establecer persistencia.

Exploits para cajeros automáticos multifunción del banco Pichincha del Ecuador

En el monitoreo a fuentes abiertas de información, el equipo de Csirt Financiero, ha identificado un usuario llamado HotarusCorp, el cual ha publicado en un foro de internet, que se encuentra vendiendo un exploit dirigido a ATM, este malware solo funciona para cajeros con software front-end del banco Pichincha del Ecuador.

Exploits en WordPress Social Warfare

Ataques dirigidos a un complemento de WordPress llamado " Social Warfare".

Exploit público aprovecha vulnerabilidad crítica en sistemas SAP

En el monitorio realizado a fuentes abiertas de información, el Csirt Financiero ha identificado que ciberdelincuentes podrían tratar de explotar la vulnerabilidad CVE-2020-6207 en el sistema SAP Solution Manager (SolMan) v7.2 de las organizaciones que aún no han parchado esta vulnerabilidad, lo anterior al observar escaneos masivos en internet que tienen como objetivo utilizar el exploit público disponible actualmente, lo que aumenta la posibilidad de ser víctima de un ciberataque.

Expansión del troyano bancario Javali: de América Latina a Europa

El ciberespacio continúa siendo un terreno fértil para la propagación de amenazas virtuales, y el troyano bancario Javali es un ejemplo destacado de ello. Desde su aparición en 2017, este malware ha estado dirigido a clientes de instituciones financieras en América Latina, con un enfoque particular en Brasil y Chile. Sin embargo, recientemente se ha observado un cambio significativo en sus objetivos, ya que el grupo responsable de Javali ha iniciado una expansión hacia Europa, centrándose específicamente en clientes de la banca española y portuguesa.

Evolución del troyano bancario Javali

En la era digital en la que vivimos, la ciberseguridad se ha convertido en un desafío a nivel global. Entre las muchas amenazas en la red, el troyano bancario Javali destaca con su persistente evolución y adaptación. Su historia se remonta a 2017, cuando comenzó a generar ataques dirigidos principalmente a usuarios de instituciones financieras en América Latina, con un enfoque particular en Brasil y Chile.

Evolución del ransomware Royal para afectar entornos Unix y Linux

El equipo de analistas del Csirt ha detectado nueva actividad relacionada con el grupo Royal Ransomware. Este grupo malicioso emergió en septiembre de 2022 y se cree que está conformado principalmente por exmiembros del grupo de ransomware Conti, también conocido como Team One. A diferencia de otros grupos, Royal Ransomware opera como un Ransomware-as-a-Service (RaaS) privado, en lugar de utilizar un modelo público. En su historial, han llevado a cabo ataques de gran magnitud dirigidos a infraestructuras críticas, el sector de la salud, la industria manufacturera, el sector educativo y el sector financiero.

Evolución del Ransomware en el 2020

En el monitoreo realizado por el Csirt Financiero, se ha evidenciado la evolución de los grupos cibercriminales que utilizan y distribuyen ransomware, desarrollando nuevas técnicas y tácticas para su distribución y extorsión a grandes corporaciones alrededor del mundo.

Evolución del ransomware Blackcat y su nueva herramienta

El ransomware BlackCat es una amenaza destacada en el ámbito de la ciberseguridad, que ha afectado a nivel global, incluyendo a organizaciones en Colombia. El equipo de analistas del Csirt Financiero monitorea de cerca la actividad relacionada con BlackCat y ha identificado un nuevo enfoque en su modus operandi. En este nuevo enfoque, BlackCat utiliza una herramienta que permite a los atacantes propagar su carga útil en máquinas remotas y recursos compartidos de la red de la organización víctima.

Evolución del Ransomware Black Basta

A través de inteligencia cibernética y monitoreo a diversas fuentes abiertas de información, el equipo de analistas del Csirt Financiero comparte un análisis de la evolución de Black Basta, ransomware dirigido a diferentes sectores en los cuales encontramos al financiero. Tiene como objetivo el cifrado de información y con esto lograr beneficios económicos para los ciberdelincuentes.

Evolución del Downloader Guloader

El equipo de analistas del Csirt Financiero ha descubierto una nueva actividad maliciosa relacionada con el downloader conocido como Guloader. Este malware utiliza la herramienta de código abierto NSIS (Nullsoft Scriptable Install System) una herramienta de código abierto que se utiliza para crear instaladores de software en el sistema operativo Windows para desarrollar instaladores en el sistema operativo Windows. Durante la investigación se han identificado nuevos indicadores de compromiso asociados a esta amenaza.

Evolución del backdoor Dtrack utilizado por diversos grupos APT

Dtrack es una puerta trasera (backdoor), con la cual se puede realizar inyección de diferentes amenazas entre los que se encuentra malware de tipo ransomware, herramientas de control remoto entre otras, donde se ha identificado grupos de ciberdelincuentes APT utilizando esta amenaza como Lazarus y Andariel (subgrupo asociado a Lazarus), el cual se ha enfocado en recopilar información confidencial, incluyendo credenciales de inicio de sesión, información de la red y datos de sistemas operativos.

Evolución del arsenal de Royal ransomware

El ransomware Royal se ha convertido en una amenaza que afecta a diversos sectores, incluyendo el financiero. Desde su aparición en septiembre de 2022, este malware ha sido distribuido por el grupo DEV-0569, quienes emplean técnicas de phishing y evasión de defensas para propagarlo, el equipo del Csirt Financiero se encuentra en constante alerta, trabajando de manera diligente para proteger a los asociados del sector financiero y minimizar el impacto del ransomware Royal, donde fueron identificados nuevos indicadores de compromiso relacionados con esta amenaza.

Evolución de la amenaza Prilex.

En el monitoreo de amenazas a través de fuentes de información abiertas y de herramientas del Csirt financiero, se identificó la evolución de la amenaza Prilex el cual anteriormente realizaba ataques a cajeros automáticos (ATM) para obtener la información de las tarjetas de crédito utilizadas en ellos. Por lo anterior los ciberdelincuentes han ampliado su rango de acción centrándose ahora en ataques a sistemas de punto de venta (PoS).

Evolución de Atomic macOS Stealer

Durante las actividades de monitoreo realizadas por el equipo del Csirt Financiero, se identificó nueva actividad maliciosa relacionada con Atomic macOS Stealer (AMOS).

Evolución continúa de Bumblebee en la naturaleza

La evolución de los malware es inmutable, justamente por ello es natural encontrar que las amenazas más prolíficas del ciberespacio mantienen una cadena evolutiva en la que integran mejoras en sus capacidades y sus TTP; durante los últimos meses se encontró gran actividad relacionada con el loader Bumblebee como se reportó recientemente desde el Csirt Financiero los nuevos artefactos incluyen capacidades que no habían empleado anteriormente.

EvilExtractor: herramienta de ataque con múltiples funciones maliciosas, incluyendo ransomware.

EvilExtractor es una herramienta de ataque que Incluye varios módulos que funcionan a través de un servicio FTP, diseñados para extraer datos y archivos de equipos con sistemas operativos Windows. Es distribuida por una compañía llamada Kodex, que afirma que es una herramienta educativa. Sin embargo, los ciberdelincuentes lo están utilizando activamente como un infostealer para orquestar ataques hacia víctimas se encuentran principalmente en Europa y América.

Estructura vinculada a VexTrio explota páginas WordPress para realizar fraudes

Durante las labores de monitoreo continuo realizadas por el equipo de analistas del Csirt Financiero, se identificó una nueva campaña relacionada con VexTrio, una red de distribución de comunicaciones que opera como intermediario entre sitios web comprometidos y páginas que ejecutan fraudes o engaños. Esta red trabaja junto a servicios conocidos como Help TDS y Disposable TDS, y tiene como objetivo redirigir a los visitantes de sitios legítimos hacia contenido fraudulento, como páginas falsas o aplicaciones dañinas.