Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.
Ransomware Thanos utiliza nueva técnica para evadir su detecciónEn el continuo monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque que puedan afectar al sector, se ha identificado una muestra de ransomware que usa distintas técnicas para la evasión de las aplicaciones y herramientas de seguridad con la técnica RIPlace.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/ransomware-thanos-utiliza-nueva-tecnica-para-evadir-su-deteccionhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el continuo monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque que puedan afectar al sector, se ha identificado una muestra de ransomware que usa distintas técnicas para la evasión de las aplicaciones y herramientas de seguridad con la técnica RIPlace.
Indicadores de compromiso asociados a TrickbotEn el monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque, se han identificado indicadores de compromiso asociados a Trickbot, el cual tiene como objetivo capturar y exfiltrar información confidencial del equipo infectado.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/indicadores-de-compromiso-asociados-a-trickbothttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque, se han identificado indicadores de compromiso asociados a Trickbot, el cual tiene como objetivo capturar y exfiltrar información confidencial del equipo infectado.
Nuevos indicadores de compromiso asociados a EmotetEn el constante monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque que puedan afectar al sector, se han identificado nuevos indicadores de compromiso asociados al troyano bancario Emotet, evidenciado por primera vez en 2014.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-emotet-6http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque que puedan afectar al sector, se han identificado nuevos indicadores de compromiso asociados al troyano bancario Emotet, evidenciado por primera vez en 2014.
Creciente ciberamenaza del ransomware Maze sobre América LatinaEn marzo de 2019 que se identificó por primera vez el ransomware Maze, este se ha situado como una de las ciberamenazas más relevantes dentro de la categoría de ransomware. Desde principios del 2020 su actividad ha sido muy prolífica y se ha combinado con un nuevo modelo de extorsión, un tipo de modus operandi que se ha extendido entre los grupos cibercriminales.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/creciente-ciberamenaza-del-ransomware-maze-sobre-america-latinahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En marzo de 2019 que se identificó por primera vez el ransomware Maze, este se ha situado como una de las ciberamenazas más relevantes dentro de la categoría de ransomware. Desde principios del 2020 su actividad ha sido muy prolífica y se ha combinado con un nuevo modelo de extorsión, un tipo de modus operandi que se ha extendido entre los grupos cibercriminales.
Indicadores de compromiso asociados a Ragnar LockerEn el constante monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque que puedan afectar al sector, se han evidenciado nuevos indicadores de compromiso de Ragnar Locker, un ransomware visto por primera vez en diciembre de 2019. Los ciberdelincuentes lo utilizan para infectar un equipo de cómputo y la red a la que pertenece, exfiltrar información, cifrar archivos y amenazar con divulgar la información exfiltrada si los usuarios no realizan el pago o rescate exigido.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/indicadores-de-compromiso-asociados-a-ragnar-lockerhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque que puedan afectar al sector, se han evidenciado nuevos indicadores de compromiso de Ragnar Locker, un ransomware visto por primera vez en diciembre de 2019. Los ciberdelincuentes lo utilizan para infectar un equipo de cómputo y la red a la que pertenece, exfiltrar información, cifrar archivos y amenazar con divulgar la información exfiltrada si los usuarios no realizan el pago o rescate exigido.
Nuevos indicadores de compromiso asociados a Agent TeslaEn el constante monitoreo realizado por el Csirt Financiero a nuevos vectores de ataque y amenazas que puedan afectar al sector, se han evidenciado nuevos indicadores de compromiso asociados al KeyLogger Agent Tesla, el cual en los últimos meses ha estado involucrado en múltiples ataques dirigidos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/copy_of_nuevos-indicadores-de-compromiso-asociados-a-agent-teslahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo realizado por el Csirt Financiero a nuevos vectores de ataque y amenazas que puedan afectar al sector, se han evidenciado nuevos indicadores de compromiso asociados al KeyLogger Agent Tesla, el cual en los últimos meses ha estado involucrado en múltiples ataques dirigidos.
Grupo Gamaredon agrega plantillas y macros maliciosas a sus módulosEl grupo Gamaredon ha agregado dos herramientas de infección a su arsenal, una macro de Microsoft Visual Basic (VBA) destinada a Microsoft Outlook, con el objetivo de enviar malware mediante mensajes de correo tipo spearphishing y un módulo para inyectar macros o plantillas maliciosas en documentos ubicados en el sistema comprometido. Esto con el fin de enumerar los archivos del equipo comprometido, realizar movimientos laterales y exfiltrar información hacia su servidor de Comando y Control (C2).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-gamaredon-agrega-plantillas-y-macros-maliciosas-a-sus-moduloshttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El grupo Gamaredon ha agregado dos herramientas de infección a su arsenal, una macro de Microsoft Visual Basic (VBA) destinada a Microsoft Outlook, con el objetivo de enviar malware mediante mensajes de correo tipo spearphishing y un módulo para inyectar macros o plantillas maliciosas en documentos ubicados en el sistema comprometido. Esto con el fin de enumerar los archivos del equipo comprometido, realizar movimientos laterales y exfiltrar información hacia su servidor de Comando y Control (C2).
Nuevos indicadores de compromiso relacionados al troyano DridexEn el monitoreo que realiza el equipo del Csirt Financiero a nuevas amenazas y vectores de ataque, ha evidenciado nuevos indicadores de compromiso asociados a Dridex, troyano que tiene la capacidad de adicionar un equipo infectado a su botnet para ejecutar actividades maliciosas; exfiltra información como credenciales bancarias y tarjetas de crédito.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-relacionados-al-troyano-dridexhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo que realiza el equipo del Csirt Financiero a nuevas amenazas y vectores de ataque, ha evidenciado nuevos indicadores de compromiso asociados a Dridex, troyano que tiene la capacidad de adicionar un equipo infectado a su botnet para ejecutar actividades maliciosas; exfiltra información como credenciales bancarias y tarjetas de crédito.
Creciente tendencia del ransomware como servicio en la deep webEl equipo de analistas del Csirt Financiero, en el constante monitoreo del panorama cibercriminal desde fuentes abiertas y deep web, ha identificado el Malware-as-a-Service (MaaS) como una tendencia cada vez más extendida entre los ciberdelincuentes. Estos han conseguido monetizar toda actividad ilícita realizada y transformarla en una modalidad de servicio al alcance de todos los ciberdelincuentes como lo es el Ransomware-as-a-Service (RaaS).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/creciente-tendencia-del-ransomware-como-servicio-en-la-deep-webhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del Csirt Financiero, en el constante monitoreo del panorama cibercriminal desde fuentes abiertas y deep web, ha identificado el Malware-as-a-Service (MaaS) como una tendencia cada vez más extendida entre los ciberdelincuentes. Estos han conseguido monetizar toda actividad ilícita realizada y transformarla en una modalidad de servicio al alcance de todos los ciberdelincuentes como lo es el Ransomware-as-a-Service (RaaS).
Análisis técnico de troyano bancarioEl Csirt Financiero ha detectado y notificado con anterioridad diversas campañas en las que se han utilizado troyanos bancarios de origen aparentemente brasileño, durante los meses de abril y mayo del 2020. En esta ocasión, el equipo del Csirt Financiero ha detectado una nueva campaña dirigida, al igual que las anteriores, a usuarios de entidades bancarias de habla portuguesa y española.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/analisis-tecnico-de-troyano-bancariohttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El Csirt Financiero ha detectado y notificado con anterioridad diversas campañas en las que se han utilizado troyanos bancarios de origen aparentemente brasileño, durante los meses de abril y mayo del 2020. En esta ocasión, el equipo del Csirt Financiero ha detectado una nueva campaña dirigida, al igual que las anteriores, a usuarios de entidades bancarias de habla portuguesa y española.
Nuevos indicadores de compromiso relacionados a Agent TeslaEn el continuo monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque, se han evidenciado nuevos indicadores asociados a Agent Tesla, un keylogger orientado a la captura de las pulsaciones del teclado; con el fin de exfiltrar credenciales para utilizarlas en posteriores ataques, realizar operaciones fraudulentas o venderlas en sitios de la Deep web.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-relacionados-a-agent-teslahttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el continuo monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque, se han evidenciado nuevos indicadores asociados a Agent Tesla, un keylogger orientado a la captura de las pulsaciones del teclado; con el fin de exfiltrar credenciales para utilizarlas en posteriores ataques, realizar operaciones fraudulentas o venderlas en sitios de la Deep web.
Indicadores de compromiso asociados a Avaddon ransomwareDesde el Csirt Financiero se han identificado indicadores de compromiso asociados a la amenaza Avaddon ransomware, el cual cifra los archivos de los equipos infectados y luego piden a los usuarios el pago por un programa diseñado para descifrar los archivos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/indicadores-de-compromiso-asociados-a-avaddon-ransomwarehttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se han identificado indicadores de compromiso asociados a la amenaza Avaddon ransomware, el cual cifra los archivos de los equipos infectados y luego piden a los usuarios el pago por un programa diseñado para descifrar los archivos.
Indicadores de compromiso relacionados al troyano IcedIDA través del continuo monitoreo realizado por el equipo del Csirt Financiero a nuevos vectores de amenazas, se han referenciado nuevos indicadores de compromiso asociados a IcedID, troyano con capacidades para expandirse a través de la red y monitorizar la actividad del navegador web con el fin de exfiltrar información confidencial.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/indicadores-de-compromiso-relacionados-al-troyano-icedidhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del continuo monitoreo realizado por el equipo del Csirt Financiero a nuevos vectores de amenazas, se han referenciado nuevos indicadores de compromiso asociados a IcedID, troyano con capacidades para expandirse a través de la red y monitorizar la actividad del navegador web con el fin de exfiltrar información confidencial.
Nuevos indicadores de compromisos relacionados al troyano UrsnifMediante el monitoreo de fuentes abiertas, el equipo del Csirt Financiero evidenció, repilo y analizó indicadores de compromiso relacionados con el troyano bancario Ursnif, en campañas donde es distribuido por medio de archivos Microsoft Excel versión 4.0 con macros maliciosas embebidas, que al ejecutarse descargan el troyano sin ser detectado por los sistemas antimalware.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromisos-relacionados-al-troyano-ursnifhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el monitoreo de fuentes abiertas, el equipo del Csirt Financiero evidenció, repilo y analizó indicadores de compromiso relacionados con el troyano bancario Ursnif, en campañas donde es distribuido por medio de archivos Microsoft Excel versión 4.0 con macros maliciosas embebidas, que al ejecutarse descargan el troyano sin ser detectado por los sistemas antimalware.
Malware Sarwent con enfoque en RDPA través del monitoreo de fuentes abiertas disponibles en la red, el equipo del Csirt Financiero ha evidenciado el análisis relacionado con el malware de puerta trasera Sarwent; se apoya en el protocolo de escritorio remoto (RDP) para acceder de forma no autorizada al sistema y exfiltrar información confidencial.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/malware-sarwent-con-enfoque-en-rdphttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través del monitoreo de fuentes abiertas disponibles en la red, el equipo del Csirt Financiero ha evidenciado el análisis relacionado con el malware de puerta trasera Sarwent; se apoya en el protocolo de escritorio remoto (RDP) para acceder de forma no autorizada al sistema y exfiltrar información confidencial.
Actualización en módulo de propagación de TrickBotMediante el monitoreo de fuentes abiertas, el equipo del Csirt Financiero ha referenciado un análisis de las actualizaciones en los módulos del troyano modular TrickBot, el cual es conocido por exfiltrar información confidencial de los equipos infectados, en especial credenciales bancarias.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/actualizacion-en-modulo-de-propagacion-de-trickbothttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el monitoreo de fuentes abiertas, el equipo del Csirt Financiero ha referenciado un análisis de las actualizaciones en los módulos del troyano modular TrickBot, el cual es conocido por exfiltrar información confidencial de los equipos infectados, en especial credenciales bancarias.
Nuevos indicadores de compromiso asociados a QakbotEn el continuo monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque, se han evidenciado nuevos indicadores asociados a Qakbot, el cual tiene la capacidad de descargar malware catalogado e introducir al equipo infectado en una red de botnets.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-qakbot-1http://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el continuo monitoreo realizado por el Csirt Financiero a nuevas amenazas y vectores de ataque, se han evidenciado nuevos indicadores asociados a Qakbot, el cual tiene la capacidad de descargar malware catalogado e introducir al equipo infectado en una red de botnets.
Botnet Devil Shadow distribuido en instalador de Zoom.El equipo del Csirt Financiero ha evidenciado cómo los ciberdelincuentes aprovechan aplicaciones de videoconferencia como Zoom para distribuir malware en sus instaladores. La muestra analizada por el equipo del Csirt, la instalación de la herramienta ha evidenciado el compromiso del equipo en la botnet Devil Shadow; permitiendo al ciberdelincuente tomar el control del equipo mediante acceso remoto y exfiltrar información confidencial.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/botnet-devil-shadow-distribuido-en-instalador-de-zoomhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado cómo los ciberdelincuentes aprovechan aplicaciones de videoconferencia como Zoom para distribuir malware en sus instaladores. La muestra analizada por el equipo del Csirt, la instalación de la herramienta ha evidenciado el compromiso del equipo en la botnet Devil Shadow; permitiendo al ciberdelincuente tomar el control del equipo mediante acceso remoto y exfiltrar información confidencial.
Última versión del bot Amadey instala malware adicionalEn el constante monitoreo realizado por el equipo del Csirt Financiero, ha evidenciado una nueva versión de Amadey, un bot de origen ruso visto por primera vez en 2018 y que ahora cuenta con nuevas capacidades como: • Modificar archivos del sistema. • Exfiltrar credenciales del equipo comprometido. • Realizar capturas de pantalla. • Enviar información de versión y tipo de sistema operativo en peticiones POST al servidor de Comando y Control (C2).http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/ultima-version-del-bot-amadey-instala-malware-adicionalhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo realizado por el equipo del Csirt Financiero, ha evidenciado una nueva versión de Amadey, un bot de origen ruso visto por primera vez en 2018 y que ahora cuenta con nuevas capacidades como: • Modificar archivos del sistema. • Exfiltrar credenciales del equipo comprometido. • Realizar capturas de pantalla. • Enviar información de versión y tipo de sistema operativo en peticiones POST al servidor de Comando y Control (C2).
Nuevo módulo de Trickbot conocido como BazarLoaderEl equipo del Csirt Financiero ha identificado un nuevo módulo de Trickbot denominado BazarLoader; encargado de inyectar código malicioso a través de API a procesos legítimos del sistema operativo como svchost.exe, adicionando persistencia en su ataque. Esta amenaza puede afectar usuarios del sector financiero ya que TrickBot es un troyano especializado en la exfiltración de credenciales bancarias de los navegadores o cualquier tipo de información sensible en los equipos comprometidos.http://www.csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-modulo-de-trickbot-conocido-como-bazarloaderhttp://www.csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado un nuevo módulo de Trickbot denominado BazarLoader; encargado de inyectar código malicioso a través de API a procesos legítimos del sistema operativo como svchost.exe, adicionando persistencia en su ataque. Esta amenaza puede afectar usuarios del sector financiero ya que TrickBot es un troyano especializado en la exfiltración de credenciales bancarias de los navegadores o cualquier tipo de información sensible en los equipos comprometidos.
-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}