Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.
Vulnerabilidad VMware NSX-T data centerEn el monitoreo realizado a fuentes abiertas, por parte del Csirt Financiero se ha identificado la siguiente vulnerabilidad CVE-2021-21981 en la plataforma VMware NSX-T Data center en su versión 3.1.1, la cual cuenta con una clasificación de 7.5 de severidad en la escala de CVSSv3.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidad-vmware-nsx-t-data-centerhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas, por parte del Csirt Financiero se ha identificado la siguiente vulnerabilidad CVE-2021-21981 en la plataforma VMware NSX-T Data center en su versión 3.1.1, la cual cuenta con una clasificación de 7.5 de severidad en la escala de CVSSv3.
Variante del ataque Rowhammer / smashEn el monitoreo realizado a fuentes abiertas, por parte del Csirt Financiero se ha identificado una variante del ataque conocido como Rowhammer, este ataque consiste en la explotación de una vulnerabilidad física en las memorias RAM del equipo objetivo con el fin de tener acceso a los datos almacenados en memoria y así obtener permisos dentro del equipo comprometido.http://csirtasobancaria.com/Plone/alertas-de-seguridad/variante-del-ataque-rowhammer-smashhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas, por parte del Csirt Financiero se ha identificado una variante del ataque conocido como Rowhammer, este ataque consiste en la explotación de una vulnerabilidad física en las memorias RAM del equipo objetivo con el fin de tener acceso a los datos almacenados en memoria y así obtener permisos dentro del equipo comprometido.
Nuevos vectores de distribución utilizados por Ryuk ransomwareEn el monitoreo realizado a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado el uso de dos nuevas técnicas en el vector de distribución por parte de los ciberdelincuentes que utilizan Ryuk ransomware, las cuales han implementado en sus ciberataques.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-vectores-de-distribucion-utilizados-por-ryuk-ransomwarehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado el uso de dos nuevas técnicas en el vector de distribución por parte de los ciberdelincuentes que utilizan Ryuk ransomware, las cuales han implementado en sus ciberataques.
BazarCall, nueva campaña de BazarLoaderEn el monitoreo a fuentes abiertas, el Csirt Financiero ha evidenciado una nueva campaña de infección del backdoor BazarLoader, el cual ha sido reconocido como parte de las herramientas utilizadas por los ciberdelincuentes detrás del troyano bancario Trickbot. Este backdoor se ha observado desde principios del año 2020 y es utilizado para exfiltrar información confidencial, controlar el sistema mediante comandos y entregar malware a través de sus servidores de comando y control (C2).http://csirtasobancaria.com/Plone/alertas-de-seguridad/bazarcall-nueva-campana-de-bazarloaderhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas, el Csirt Financiero ha evidenciado una nueva campaña de infección del backdoor BazarLoader, el cual ha sido reconocido como parte de las herramientas utilizadas por los ciberdelincuentes detrás del troyano bancario Trickbot. Este backdoor se ha observado desde principios del año 2020 y es utilizado para exfiltrar información confidencial, controlar el sistema mediante comandos y entregar malware a través de sus servidores de comando y control (C2).
Vulnerabilidades en el kernel de Linux afectan distribuciones UbuntuEn el monitoreo continúo realizado por el equipo del Csirt financiero, se identificaron las siguientes vulnerabilidades denominadas: CVE-2021-3492 y CVE-2021-3493, las cuales afectan a las versiones del kernel de Linux 4.4.0 hasta la versión 5.8.0, presentes en distribuciones como Ubuntu, que hasta la fecha ha sido quien ha notificado estas vulnerabilidades a la comunidad y está siendo investigado por otras distribuciones para determinar si presentan afectación.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-en-el-kernel-de-linux-afectan-distribuciones-ubuntuhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo continúo realizado por el equipo del Csirt financiero, se identificaron las siguientes vulnerabilidades denominadas: CVE-2021-3492 y CVE-2021-3493, las cuales afectan a las versiones del kernel de Linux 4.4.0 hasta la versión 5.8.0, presentes en distribuciones como Ubuntu, que hasta la fecha ha sido quien ha notificado estas vulnerabilidades a la comunidad y está siendo investigado por otras distribuciones para determinar si presentan afectación.
Vulnerabilidad en IBM Spectrum Protect permite ataques DOSEn el monitoreo continúo realizado por el equipo del Csirt financiero, se ha logrado identificar una vulnerabilidad denominada CVE-2021-20491 que afecta al producto IBM Spectrum Protect en donde se puede producir un ataque de denegación de servicio en el servidor afectado.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidad-en-ibm-spectrum-protect-permite-ataques-doshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo continúo realizado por el equipo del Csirt financiero, se ha logrado identificar una vulnerabilidad denominada CVE-2021-20491 que afecta al producto IBM Spectrum Protect en donde se puede producir un ataque de denegación de servicio en el servidor afectado.
Nueva actividad del ransomware DarksideEn el monitoreo realizado a fuentes abiertas de información, el equipo de Csirt Financiero ha identificado nueva actividad del ransomware Darkside, de acuerdo con una reciente investigación sus últimos ataques han sido dirigidos a países en Latinoamérica como lo son Chile y Brasil, por lo anterior no se descarta que esta amenaza pueda generar ataques cibernéticos dirigidos a más países en América latina.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-del-ransomware-darksidehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas de información, el equipo de Csirt Financiero ha identificado nueva actividad del ransomware Darkside, de acuerdo con una reciente investigación sus últimos ataques han sido dirigidos a países en Latinoamérica como lo son Chile y Brasil, por lo anterior no se descarta que esta amenaza pueda generar ataques cibernéticos dirigidos a más países en América latina.
Campaña de AsyncRat enfocada en ColombiaGracias a la colaboración entre asociados y el Csirt Financiero, se ha logrado identificar una campaña que tiene como finalidad la distribución de AsyncRAT. La fase de distribución no difiere de otros analizados anteriormente por el Csirt, puesto que los ciberdelincuentes detrás de estas campañas siguen usando mensajes de correo electrónico suplantando entidades con técnicas de phishing, en las que comunican supuestas transacciones bancarias, que pueden ser descargadas desde un repositorio de nube pública como Dropbox.http://csirtasobancaria.com/Plone/alertas-de-seguridad/campana-de-asyncrat-enfocada-en-colombiahttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Gracias a la colaboración entre asociados y el Csirt Financiero, se ha logrado identificar una campaña que tiene como finalidad la distribución de AsyncRAT. La fase de distribución no difiere de otros analizados anteriormente por el Csirt, puesto que los ciberdelincuentes detrás de estas campañas siguen usando mensajes de correo electrónico suplantando entidades con técnicas de phishing, en las que comunican supuestas transacciones bancarias, que pueden ser descargadas desde un repositorio de nube pública como Dropbox.
BRata evoluciona y emplea nuevamente servicios de Google PlayEn el monitoreo realizado a fuentes abiertas de información, el equipo de Csirt Financiero ha identificado nueva actividad del troyano de acceso remoto denominado BRata. Esta amenaza a presentando actividad desde el año 2016 y sus principales ataques han sido dirigidos a entidades financieras en Brasil.http://csirtasobancaria.com/Plone/alertas-de-seguridad/brata-evoluciona-y-emplea-nuevamente-servicios-de-google-playhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas de información, el equipo de Csirt Financiero ha identificado nueva actividad del troyano de acceso remoto denominado BRata. Esta amenaza a presentando actividad desde el año 2016 y sus principales ataques han sido dirigidos a entidades financieras en Brasil.
Nueva campaña distribuye troyano de acceso remoto NjRATGracias a la colaboración y participación de las entidades asociadas al sector financiero, se ha evidenciado una nueva campaña que distribuye el troyano de acceso remoto NjRAT, bajo modalidad de phishing, en la que suplantan la oficina de Cultura y Turismo de Sotaquirá Boyacá, con asunto "ajuste de consignación", en el que se adjunta un archivo que contiene la amenaza.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-campana-distribuye-troyano-de-acceso-remoto-njrathttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Gracias a la colaboración y participación de las entidades asociadas al sector financiero, se ha evidenciado una nueva campaña que distribuye el troyano de acceso remoto NjRAT, bajo modalidad de phishing, en la que suplantan la oficina de Cultura y Turismo de Sotaquirá Boyacá, con asunto "ajuste de consignación", en el que se adjunta un archivo que contiene la amenaza.
Nueva campaña que distribuye a Remcos RATLa fase de distribución no difiere de otros analizados anteriormente por el Csirt, ya que los ciberdelincuentes detrás de estas campañas siguen usando correos electrónicos suplantando entidades para enviar supuestas notificaciones judiciales, que pueden ser descargadas desde otro repositorio.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-campana-que-distribuye-a-remcos-rat-1http://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
La fase de distribución no difiere de otros analizados anteriormente por el Csirt, ya que los ciberdelincuentes detrás de estas campañas siguen usando correos electrónicos suplantando entidades para enviar supuestas notificaciones judiciales, que pueden ser descargadas desde otro repositorio.
Vulnerabilidad de RCE en navegadores Chrome, Chromium y Microsoft EdgeEn el monitoreo realizado a fuentes abiertas de información, el equipo de Csirt Financiero ha observado la publicación de una vulnerabilidad, que permite la ejecución de código remoto (RCE) a través de los navegadores Chrome, Chromium y Microsoft Edge.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidad-de-rce-en-navegadores-chrome-chromium-y-microsoft-edgehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado a fuentes abiertas de información, el equipo de Csirt Financiero ha observado la publicación de una vulnerabilidad, que permite la ejecución de código remoto (RCE) a través de los navegadores Chrome, Chromium y Microsoft Edge.
Saint Bot, nuevo Downloader utilizado para descargar y ejecutar malwareEn el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado un nuevo downloader denominado Saint Bot el cual está siendo utilizado para distribuir, descargar y ejecutar malware adicional en un equipo comprometido como lo es el malware Taurus, que consiste en un Stealer de credenciales que afecta a equipos con sistema operativo Windows.http://csirtasobancaria.com/Plone/alertas-de-seguridad/saint-bot-nuevo-downloader-utilizado-para-descargar-y-ejecutar-malwarehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado un nuevo downloader denominado Saint Bot el cual está siendo utilizado para distribuir, descargar y ejecutar malware adicional en un equipo comprometido como lo es el malware Taurus, que consiste en un Stealer de credenciales que afecta a equipos con sistema operativo Windows.
Actividad reciente identificada por parte del Backdoor Vyveva atribuido al grupo LazarusEn el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, ha identificado despliegue de ataques cibernéticos empleando la puerta trasera o backdoor denominado Vyveva atribuido al APT Lazarus, debido a que, en el análisis realizado a equipos infectados, se encuentra que posee similitudes en su funcionamiento y código empleados puntualmente con la muestra de Nukeped que fue empleada en campañas anteriores asociadas a este APT; en esta ocasión el backdoor fue detectado en un ciberataque dirigido a una empresa en Sudáfrica.http://csirtasobancaria.com/Plone/alertas-de-seguridad/actividad-reciente-identificada-por-parte-del-backdoor-vyveva-atribuido-al-grupo-lazarushttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, ha identificado despliegue de ataques cibernéticos empleando la puerta trasera o backdoor denominado Vyveva atribuido al APT Lazarus, debido a que, en el análisis realizado a equipos infectados, se encuentra que posee similitudes en su funcionamiento y código empleados puntualmente con la muestra de Nukeped que fue empleada en campañas anteriores asociadas a este APT; en esta ocasión el backdoor fue detectado en un ciberataque dirigido a una empresa en Sudáfrica.
Revil ejecuta modo seguro de Windows para cifrar archivosEn el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, se ha identificado un nuevo procedimiento previo al cifrado de archivos ejecutado por la familia de ransomware REvil, forzando el sistema operativo a que se reinicie en modo seguro mediante el comando -smode; algunas de las afectaciones ejecutadas por la amenaza cibernética consisten en modificar la llave de registro HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon agregando la nueva contraseña denominada “DTrump4ever.”.http://csirtasobancaria.com/Plone/alertas-de-seguridad/revil-ejecuta-modo-seguro-de-windows-para-cifrar-archivoshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, se ha identificado un nuevo procedimiento previo al cifrado de archivos ejecutado por la familia de ransomware REvil, forzando el sistema operativo a que se reinicie en modo seguro mediante el comando -smode; algunas de las afectaciones ejecutadas por la amenaza cibernética consisten en modificar la llave de registro HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon agregando la nueva contraseña denominada “DTrump4ever.”.
Filtración de información sensible de tarjetas de crédito de SwarmshopEn el monitoreo a fuentes abiertas de información, el Csirt Financiero ha observado una gran filtración de información confidencial y sensible de la tienda de tarjetas de crédito Swarmshop en foros clandestinos. Swarmshop es un mercado de tarjetas de crédito de la darknet que ha estado activo desde el año 2019.http://csirtasobancaria.com/Plone/alertas-de-seguridad/filtracion-de-informacion-sensible-de-tarjetas-de-credito-de-swarmshophttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el Csirt Financiero ha observado una gran filtración de información confidencial y sensible de la tienda de tarjetas de crédito Swarmshop en foros clandestinos. Swarmshop es un mercado de tarjetas de crédito de la darknet que ha estado activo desde el año 2019.
Múltiples vulnerabilidades en SD-WAN y Routers CiscoEn el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, se han identificado las siguientes vulnerabilidades a los productos de CISCO, principalmente a la plataforma SD-WAN y a modelos de Routers que están próximos a terminar su vida útil.http://csirtasobancaria.com/Plone/alertas-de-seguridad/multiples-vulnerabilidades-en-sd-wan-y-routers-ciscohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, se han identificado las siguientes vulnerabilidades a los productos de CISCO, principalmente a la plataforma SD-WAN y a modelos de Routers que están próximos a terminar su vida útil.
Actividad maliciosa por parte del troyano bancario JaneleiroMediante el continuo monitoreo a fuentes abiertas, el Csirt Financiero logró evidenciar el troyano bancario denominado Janeleiro, el cual cuenta con actividad cibercriminal desde el año 2018, con principal enfoque en Brasil en infraestructuras tecnológicas con sistema operativo Windows, afectando sectores como el financiero, salud, educación, Pymes y manufactura. Mantiene similitudes con otros troyanos bancarios como Casbaneiro, Grandoreiro y Mekotio.http://csirtasobancaria.com/Plone/alertas-de-seguridad/actividad-maliciosa-por-parte-del-troyano-bancario-janeleirohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante el continuo monitoreo a fuentes abiertas, el Csirt Financiero logró evidenciar el troyano bancario denominado Janeleiro, el cual cuenta con actividad cibercriminal desde el año 2018, con principal enfoque en Brasil en infraestructuras tecnológicas con sistema operativo Windows, afectando sectores como el financiero, salud, educación, Pymes y manufactura. Mantiene similitudes con otros troyanos bancarios como Casbaneiro, Grandoreiro y Mekotio.
Herramienta EtterSilent utilizada para diseñar maldocEn el monitoreo realizado por el equipo del Csirt Financiero, se ha observado la existencia de una nueva herramienta encargada de diseñar y generar archivos maliciosos para propagar diferentes familias de malware como por ejemplo Bazar Loader y TrickBot.http://csirtasobancaria.com/Plone/alertas-de-seguridad/herramienta-ettersilent-utilizada-para-disenar-maldochttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el equipo del Csirt Financiero, se ha observado la existencia de una nueva herramienta encargada de diseñar y generar archivos maliciosos para propagar diferentes familias de malware como por ejemplo Bazar Loader y TrickBot.
Backdoor More_Eggs se propaga mediante Spear-PhishingEn el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, se ha identificado el resurgimiento de un backdoor llamado More_Eggs, su desarrollo atribuido al grupo ciberciminal Golden Chickens y ha sido ampliamente usado por los grupos FIN6, Cobalt Group y Evilnum, en anteriores campañas.http://csirtasobancaria.com/Plone/alertas-de-seguridad/backdoor-more_eggs-se-propaga-mediante-spear-phishinghttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo que realiza el equipo del Csirt Financiero a fuentes abiertas, se ha identificado el resurgimiento de un backdoor llamado More_Eggs, su desarrollo atribuido al grupo ciberciminal Golden Chickens y ha sido ampliamente usado por los grupos FIN6, Cobalt Group y Evilnum, en anteriores campañas.
-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}