Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Jasperloader malware bancario

Se ha detectado una nueva campaña del malware JasperLoader. Este malware se clasificaría dentro de los droppers esto es, sería el encargado de descargar otras piezas de malware. Habitualmente los droppers contienen un alto nivel de ofuscación y/o técnicas para evitar la detección por parte de motores antimalware.

Vulnerabilidad en Docker

Se detecta amenaza global que podría impactar sobre el sector financiero se trata de vulnerabilidad en Docker

Campaña Nansh0u.

Se detecta una campaña de infección dirigida a servidores Windows MS-SQL y PHPMyAdmin, la campaña se dirige principalmente a entidades que pertenecen a salud, telecomunicaciones y TI.

Vulnerabilidad de 0-day en Notepad

Se detecta amenaza global que podría impactar sobre el sector financiero, se trata de una vulnerabilidad de 0-day ejecución de código en Notepad.

Indicadores de compromiso identificados de Cobalt Strike

Desde CSIRT Financiero se han identificado amenazas y ataques organizados que afectan a COLOMBIA de manera directa o indirecta, debido a la criticidad y capacidad de expansión en diferentes sectores a donde se originaron se recomienda establecer medidas preventivas.

Análisis de Indicadores de compromiso Emotet

Desde CSIRT Financiero se han identificado amenazas y ataques organizados que afectan al sector FINANCIERO DE COLOMBIA de manera directa o indirecta, debido a la criticidad y capacidad de expansión de los ataques identificados, se recomienda establecer medidas preventivas.

RAT utilizado por el grupo APT-C-36 (también conocido como Blind Eagle)

El malware analizado es el RAT utilizado por el grupo APT-C-36 (también conocido como Blind Eagle) que realizaba comunicaciones C&C con el objetivo de ejecutar comandos en el sistema infectado y exfiltrar información confidencial.

Campaña de correo electrónico Lokibot

Se detecta una campaña de correo electrónico distribuyendo lokibot a través de un archivo .xls, Lokibot es un troyano bancario especialmente diseñado para Windows y Android; en Windows cuenta con capacidades tales como robo de contraseñas en diferentes navegadores, carteras de criptomonedas, servidores FTP, clientes de correo electrónico, herramientas de tipo TI como Putty y en Android podría simular ser la pantalla de una app bancaria, WhatsApp, Skype y Outlook, mostrando notificaciones falsas.

Nuevo malware BlackSquid

Se detecta amenaza global que pudiera impactar sobre el sector financiero. Se trata de un malware de minado de criptomonedas bastante avanzado, que además de incorporar múltiples exploits cuenta con diversas técnicas para dificultar el análisis del mismo. Aunque en la actualidad este malware se encuentra instalado XMRig para realizar las tareas de minado, está diseñado para poder realizar la descarga de otros malware

Vulnerabilidad de UEFI de Intel CVE-2019-0119

Se detecta amenaza global que pudiera impactar sobre el sector financiero. Se valida que es una Vulnerabilidad de desbordamiento de búfer en el firmware del sistema para los procesadores Intel(R) Xeon(R) Processor D Family, Intel(R) Xeon(R) Scalable Processor y las siguientes placas de servidor Intel(R) Server Board, Intel(R) Server System y Intel(R).

FIN7 ha vuelto a actuar utilizando documentos binarios de Excel

El grupo FIN7 lleva cometiendo delitos informáticos desde el año 2013, centrando su atención en grandes empresas con el fin de conseguir robar información por medio de técnicas de spear-phishing. Aun habiendo detenido a dos de sus presuntos lideres en el año 2018 siguen suministrando malware y mejorando las técnicas de infección.

GoldBrute botnet

Desde el CSIRT Financiero en continuo análisis e investigación se ha detectado el crecimiento del ataque que está siendo aprovechado por la botnet Goldbrute sobre la vulnerabilidad CVE-2019-0708. Identificando un alto riesgo en Colombia al cual se han identificado un total de 9772 host expuestos.

Subbat (ataque de Phishing dirigido)

Se detectan ataques dirigidos a entidades gubernamentales en todo el mundo, emitidos por Subaat. Se han identificado un total de 202 indicadores de compromiso que podrían afectar a su entidad.

Campaña de Phishing dirigida a usuarios de Colombia.

Se detecta campaña de Phishing dirigida a usuarios de Colombia, suplantando identidad de entidad financiera reconocida, con objetivo principal de robar credenciales y datos de tarjetas débito y crédito.

Troyano en un fichero JavaScript Emotet

El malware analizado es un troyano utilizado por diferentes grupos. Este troyano es un fichero JavaScript que es descargado en un sistema al hacer clic sobre un enlace que es entregado a través de un email.

Ejecución de código remoto en cajeros automáticos con versiones de Opteva 4.x

Se detecta amenaza global que podría impactar sobre el sector financiero. Diebold Nixdorf, empresa especializada con el suministro de cajeros automáticos a nivel mundial, informa sobre una amenaza, la cual podría terminar en ejecución remota de código malicioso en terminales Opteva v4.x, con el objetivo principal de robo de dinero a los ATM de las entidades financieras.

Múltiples vulnerabilidades de Microsoft para Windows Server 2012/2016/2019 Windows RT 8.1/ Windows 10

Se detecta amenaza global que pudiera impactar sobre el sector financiero. Microsoft ha reportado múltiples vulnerabilidades en diferentes versiones de Windows Server 2012/2016/2019 y Windows RT 8.1/ Windows 10, las cuales pueden ser explotadas por usuarios locales con fines maliciosos, si un atacante aprovecha estas vulnerabilidades logra evitar ciertas restricciones de seguridad, y podría a través de esas provocar una denegación de servicio, como también obtener escalabilidad de privilegios desde una máquina virtual, de esa manera comprometiendo la integridad, disponibilidad y confidencialidad de la información.

Indicadores de compromiso identificados asociados a Phishing y Malware

Desde CSIRT Financiero se han identificado amenazas y ataques organizados que afectan al sector FINANCIERO DE COLOMBIA de manera directa o indirecta, debido a la criticidad y capacidad de expansión de los ataques identificados, se recomienda establecer medidas preventivas.

Vulnerabilidades en los editores de línea de comandos de Linux - VIM y NEOVIM

Vulnerabilidades críticas en protocolo NTLM de Microsoft que permiten ejecución remota de código malintencionado en Windows