-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}
Para información más detallada del ciclo de la vulnerabilidad por favor revise su suscripción ante el CSIRT.
Royal ransomware es dirigido a servidores VMware ESXi
Publicado: 08/02/2023 | Importancia: Media
Durante las últimas semanas diversos actores de amenazas han realizado ataques a servidores de VMware ESXi en gran parte del mundo, en esta ocasión royal ransomware se ha sumado a esta ola de amenazas que han afectado cientos de servidores VMware ESXi a nivel global, por lo que es importante destacar este tipo de actividades que pueden afectar la confidencialidad de su información.
Variante de Clop ransomware afecta sistemas Linux
Publicado: 07/02/2023 | Importancia: Media
Los operadores de Clop han diseñado una variante de su ransomware dirigida a sistemas operativos Linux, aunque con un algoritmo de cifrado deficiente, por lo cual es posible descifrar los archivos bloqueados si es afectado por esta versión.
Nueva actividad maliciosa de Guloader
Publicado: 06/02/2023 | Importancia: Media
A través de un monitoreo a fuentes abiertas de información el equipo de analistas del Csirt Financiero identificó una nueva actividad maliciosa del downloader conocido como Guloader, el cual está realizando nuevas campañas utilizando una herramienta de código abierto denominada NSIS (Nullsoft Scriptable Install System), basada en secuencias de comandos que se utiliza para desarrollar instaladores para el sistema operativo Windows, junto con ello se identificaron nuevos indicadores de compromiso asociados a Guloader.
Nuevos indicadores de compromiso asociados con el troyano bancario IcedID
Publicado: 06/02/2023 | Importancia: Media
El equipo de analistas del Csirt financiero realizó un monitoreo al ciberespacio en busca de amenazas y campañas que puedan afectar la infraestructura de los asociados, donde se identificaron nuevos indicadores de compromiso relacionados al troyano bancario IcedID, el cual fue descubierto por primera vez en 2017 y con el objetivo principal de capturar información financiera.
Nueva campaña maliciosa utilizando el Loader Malvirt Para implementar FormBook
Publicado: 06/02/2023 | Importancia: Media
El equipo del Csirt Financiero realizó un monitoreo al ciberespacio con el objetivo de identificar nuevas amenazas o actividades maliciosas que puedan llegar a afectar la infraestructura de los asociados, donde se identificó una nueva campaña específicamente de publicidad, donde utilizan un loader conocido como Malvirt para implementar el troyano FormBook.
El ransomware ESXiArgs es identificado explotando vulnerabilidades de servidores VMware ESXI
Publicado: 05/02/2023 | Importancia: Media
El equipo de analistas del Csirt Financiero identificó un nuevo ransomware denominado ESXiArgs, el cual está realizando constantes campañas a nivel mundial explotando una vulnerabilidad de ejecución remota de código a los servidores VMware ESXi, con el objetivo de cifrar información confidencial de los equipos infectados.
Emerge la nueva botnet llamada Medusa en el panorama de amenazas
Publicado: 05/02/2023 | Importancia: Media
La botnet Mirai se ha actualizado para descargar y propagar una nueva botnet llamada Medusa, afectando dispositivos de red vulnerables que ejecuten Linux para de este modo comprometerlos y llevar a cabo acciones maliciosas como ataques DDoS y descarga de malware.
Nuevo troyano bancario denominado HookBot dirigido a dispositivos móviles
Publicado: 05/02/2023 | Importancia: Media
La mayoría de la población posee un dispositivo móvil, un hecho que también beneficia a los ciberdelincuentes y a los actores de amenazas dirigido a sistemas móviles, cuyo principal objetivo es capturar datos confidenciales. Un ejemplo de esto es el nuevo troyano bancario HookBot, diseñado para obtener acceso a información privada como contraseñas bancarias, cuentas de correo electrónico, billeteras de criptomonedas, y sitios de redes sociales.
Nuevo troyano bancario para Android denominado PixPirate
Publicado: 05/02/2023 | Importancia: Media
El equipo de analistas del Csirt financiero realizó un observatorio de seguridad con el fin de compartir información de nuevas campañas y amenazas que puedan afectar al sector financiero o la infraestructura de los asociados, donde se identificó un nuevo troyano bancario para dispositivos móviles conocido como PixPirate que impacto en Brasil y está dirigido a países de Latinoamérica (LATAM).
Nueva campaña de BATLoader distribuye RAT y otros software maliciosos
Publicado: 04/02/2023 | Importancia: Media
El equipo de analistas del Csirt Financiero realizó un monitoreo al ciberespacio en busca de nuevas amenazas o campañas que puedan afectar la infraestructura de los asociados, donde se identificó una nueva actividad relacionada con el loader (cargador) BatLoader y que está siendo utilizado por diversos actores de amenaza para distribuir diferentes RAT y otras familias de software malicioso.
Nuevo ransomware denominado Nevada
Publicado: 03/02/2023 | Importancia: Media
Recientemente se ha evidenciado la comercialización de una nueva familia de malware a través de un foro clandestino de la Deep web conocida como Nevada, un ransomware que ofrece funcionalidades bastantes interesantes para los afiliados a este servicio.
Qakbot renueva sus estrategias de infección
Publicado: 02/02/2023 | Importancia: Media
Qakbot, es uno de los troyanos bancarios más reconocidos en el ámbito de ciberseguridad, esto por ser una familia de malware que evoluciona constantemente a llegar a tal punto de convertirse en una botnet; así mismo, se evidencia la constante implementación de nuevas actualizaciones y estrategias en sus campañas maliciosas, con el propósito de afectar sistemas informáticos objetivos y, por ende, organizaciones de alto nivel.
Actores de amenaza implementan inyecciones web en sus troyanos bancarios
Publicado: 01/02/2023 | Importancia: Media
Usualmente, los actores de amenaza agregan nuevos módulos y/o funcionalidades en sus familias de malware, esto con el propósito de amplificar sus capacidades de afectación sobre algún objetivo u organización; aunado a lo anterior, en uno de los más recientes monitoreos, se evidenció la implementación de inyecciones web en aplicaciones móviles del sistema operativo Android para la captura de información confidencial de entidades financieras.
Systembc utilizado por actores de amenaza que distribuyen ransomware
Publicado: 31/01/2023 | Importancia: Media
SystemBC es un troyano de acceso remoto (RAT), el cual es utilizado por diversos grupos de ciberdelincuentes como una herramienta para acceder remotamente al equipo comprometido, permitiendo así, realizar múltiples actividades maliciosas como recopilar información del sistema, capturar data sensible o implementar cargas útiles de ransomware.
Se identifica nueva amenaza denominada Titan Stealer
Publicado: 30/01/2023 | Importancia: Media
El equipo de analistas del Csirt Financiero realizó un observatorio de ciberseguridad, con el objetivo de reconocer y compartir nuevas campañas o amenazas que puedan afectar la infraestructura de los asociados, en la que se identificó un nuevo software malicioso de tipo stealer (ladrón de información) denominado Titan stealer.
Nuevos artefactos del troyano Formbook en el mes de enero
Publicado: 29/01/2023 | Importancia: Media
Aunque el troyano conocido como Formbook ha sido reportado en ocasiones anteriores es importante resaltar las nuevas actividades de esta amenaza, ya que ha sido uno de los troyanos más utilizados por grupos de ciberdelincuentes con el objetivo de afectar la confidencialidad de su información, gracias a estas nuevas actividades se identifican nuevos indicadores de compromiso relacionados con el troyano Formbook.
Nueva actividad por parte del Loader Gootkit
Publicado: 29/01/2023 | Importancia: Media
De forma reciente, investigadores de seguridad identificaron nueva actividad asociada a Gootkit que también es conocido como Gootloader, Loader al cual se le han realizado diferentes cambios en su conjunto de herramientas que le permiten comprometer a los servicios y equipos informáticos de las organizaciones, añadiéndole nuevos componentes y ofuscaciones en su sintaxis de infección.
Se identifica nueva actividad maliciosa del ransomware Conti.
Publicado: 28/01/2023 | Importancia: Media
Es evidente que en el día a día grupos de ciberdelincuentes realizan constantes actualizaciones a las diversas amenazas que abundan en el ciberespacio, por lo que en esta ocasión el equipo del Csirt identifico una nueva actividad maliciosa relacionada al ransomware Conti donde se encuentran nuevos indicadores de compromiso relacionados a esta amenaza.
El ransomware Mimic explota Everything en su rutina de cifrado
Publicado: 27/01/2023 | Importancia: Media
En el panorama de amenazas actual encontramos cientos de variantes de ransomware, entre estas las derivadas del constructor de Conti; tal como el nuevo ransomware llamado Mimic, que inicio su operación desde junio de 2022, este se caracteriza por explotar las API del motor de búsqueda de archivos Everything (desarrollado por voidtools), y distribuirse en campañas dirigidas a usuarios de habla rusa e inglesa.
Emotet reaparece con nuevos métodos de evasión y movimiento lateral
Publicado: 24/01/2023 | Importancia: Media
En una de sus más recientes campañas maliciosas, se ha evidenciado nuevos comportamientos y vector de infección de la ya reconocida familia de malware Emotet, donde implementa varios módulos en sus actividades, uno de los que más destaca es en el protocolo del bloque de mensajes de servidor (SMB, por sus siglas en ingles) para realizar principalmente movimiento lateral en la infraestructura tecnológica infectada.
Se identifica una nueva familia de ransomware conocida como TZW
Publicado: 23/01/2023 | Importancia: Media
Investigadores de seguridad recientemente identificaron una nueva familia de ransomware denominada TZW, debido a que esta agrega la extensión .TZW a los archivos comprometidos en su procedimiento de cifrado; desarrollado en lenguaje .NET, el archivo inicial contiene un cargador desde el cual es cargado y ejecutado en la memoria del sistema operativo infectado.
Nueva campaña de GuLoader distribuye Remcos RAT
Publicado: 22/01/2023 | Importancia: Media
La superficie de ataque está en incesante progresión, en especial cuando se trata de familias de malware de acceso inicial con notables capacidades de evasión de herramientas de seguridad e investigación, como es el caso de Guloader; aunado a lo anterior, recientemente se identificó una campaña de phishing que distribuye este downloader apuntando a diferentes industrias y geografías.
Nuevos indicadores de compromiso asociados a LokiBot
Publicado: 22/01/2023 | Importancia: Media
El equipo de analistas del Csirt Financiero en el observatorio de seguridad, identificó nuevos indicadores de compromiso asociados a LokiBot también conocido como Loki PWS, el cual es un troyano bancario visto por primera vez en 2015 y con grandes usos para de los actores de manaza.
Nueva versión de Remcos RAT con capacidades altas capacidades de evadir detecciones en los equipos afectados
Publicado: 21/01/2023 | Importancia: Media
El equipo de analistas del Csirt Financiero ha realizado un monitoreo frente a amenazas y nuevas campañas que puedan afectar la infraestructura de los asociados, donde se observó nuevas actividades del troyano de acceso remoto Remcos con su nueva versión 4.2.0 lanzada el 20 de diciembre de 2022 y usada por diversos actores de amenaza.
Actores de amenaza aprovechan vulnerabilidad de día cero para implementar un backdoor
Publicado: 20/01/2023 | Importancia: Media
Recientemente, se ha identificado una campaña maliciosa en el que diferentes actores de amenaza aprovechan una vulnerabilidad de día cero presentada en la plataforma FortiOS, donde implementan una nueva familia de malware de tipo backdoor denominado “BOLDMOVE”.
Nueva variante del troyano bancario Ermac
Publicado: 19/01/2023 | Importancia: Media
Se ha identificado una nueva versión del troyano bancario Ermac, el cual trae consigo nuevas funcionalidades y capacidades para afectar a dispositivos Android; identificado como Hook, esta amenaza es introducida como una familia de malware creada desde cero, sin embargo, su código fuente y comandos son basados en Ermac, por lo que podría decirse que simplemente se trata de una actualización.
Nuevo RAT denominado Gigabud apunta a dispositivos Android
Publicado: 18/01/2023 | Importancia: Media
Recientemente, se ha observado en tendencia el aumento de campañas maliciosas donde implementan un troyano de acceso remoto que suplanta la identidad de aplicaciones gubernamentales y bancarias, el cual posee grandes capacidades de afectación y un elaborado código fuente que dificulta la detección del mismo en herramientas de seguridad, este es identificado como Gigabud RAT y está dirigido a sistemas operativos Android.
Emerge un nuevo backdoor denominado Xdr33 basado en Hive
Publicado: 17/01/2023 | Importancia: Media
El panorama de amenazas continúa en aumento, en esta ocasión se detectó una nueva variante del kit de ataque CIA Hive en el ciberespacio, la cual se fue denominada Xdr33; es un backdoor dirigido a sistemas Linux, con notorias capacidades con las que buscan afectar a sus víctimas mediante la explotación de vulnerabilidades relacionadas con dispositivos F5.
Raccoon y Vidar stealer distribuidos a través de aplicaciones no legítimas
Publicado: 16/01/2023 | Importancia: Media
Recientemente, se ha evidenciado una nueva tendencia para distribuir los stealer Raccoon y Vidar, conocidos por sus grandes capacidades de afectación y recopilación de data sensible relacionadas con credenciales del equipo objetivo. En esta ocasión, se identificó una infraestructura o botnet que posee más de 250 dominios utilizados para alojar sitios web que realizan la descarga de estas familias de malware. Esta campaña tiene como propósito persuadir a las víctimas de que instalen aplicaciones no legítimas de repositorios de GitHub que en realidad hacen referencia a la carga útil de los mencionados.
Se identifica actividad de un ransomware poco conocido llamado Lorenz
Publicado: 15/01/2023 | Importancia: Media
En la necesidad de proteger los pilares fundamentales de la información y al sector financiero, el equipo de analistas del Csirt Financiero identificaron actividad de una amenaza no vista anteriormente, se trata de un grupo de ransomware denominado Lorenz, del cual se infiere que tienen conexión con otra amenaza conocida como ThunderCrypt, además, que se ha ganado mucha popularidad desde sus inicios debido a la filtración de datos antes del cifrado, explotar vulnerabilidades de VoIP para el acceso a los equipos informáticos y la publicación de dicha data exfiltrada en su sitio web para extorsionar a sus víctimas.