Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Análisis de Indicadores de compromiso Emotet

Desde CSIRT Financiero se han identificado amenazas y ataques organizados que afectan al sector FINANCIERO DE COLOMBIA de manera directa o indirecta, debido a la criticidad y capacidad de expansión de los ataques identificados, se recomienda establecer medidas preventivas.

Alianza peligrosa entre Killnet, Revil y Anonymous Sudan apunta al sistema financiero occidental

En los últimos tiempos, se ha observado un aumento en la actividad cibernética dirigida desde grupos con vínculos indirectos con el gobierno ruso. Uno de estos grupos es Killnet, conocido por su preferencia por los ataques de denegación de servicio distribuidos (DDoS). Aunque hasta ahora su impacto ha sido limitado, existen señales sólidas de que Killnet continuará desarrollándose y escalando sus ataques a través de redes maliciosas. En un giro preocupante, en las últimas 48 horas, Killnet se ha unido a los grupos Pro-Rusos REvil y Anonymous Sudan con el supuesto objetivo de llevar a cabo un ataque masivo al sistema financiero occidental.

Amenaza cibernética de Corea del Norte.

Desde el Csirt Financiero se ha identificado una nueva campaña originada por Corea del Norte o República Popular Democrática de Corea (RPDC), la cual se destaca por ejecutar actividades maliciosas dirigidas a Estados Unidos y a la comunidad internacional en general, en esta oportunidad ha encauzado sus ataques cibercriminales hacia el sector financiero afectando de forma considerable su estabilidad y confidencialidad.

Amenaza cibernética: El APT Flea ataca ministerios y corporaciones con la nueva puerta trasera Graphican

Durante el periodo que abarcó desde finales de 2022 hasta principios de 2023, los ministerios de asuntos exteriores en las Américas fueron objeto de una serie de ataques cibernéticos. Estos ataques fueron llevados a cabo por un grupo chino patrocinado por el estado llamado Flea, también conocido como APT15, que ha estado operando desde al menos 2004. Los informes indican que la campaña reciente también tuvo como objetivo otros sectores, como un departamento de finanzas del gobierno y una corporación que opera en las Américas. El grupo utiliza una variedad de herramientas, incluyendo una nueva puerta trasera denominada Graphican, así como otras herramientas previamente asociadas con Flea.

Amenaza dirigida a cuentas Business de Facebook denominada Ducktail

Amenaza dirigida a cuentas Business de Facebook denominada Ducktail

Amenaza emergente: Cookie Stealer acecha en falsos instaladores de Microsoft Visual Studio

Microsoft Visual Studio, el popular entorno de desarrollo integrado (IDE) utilizado por muchos desarrolladores, ha atraído la atención de ciberdelincuentes que buscan aprovechar su amplia adopción. Estos atacantes han creado instaladores maliciosos que se hacen pasar por legítimos, lo que expone a los usuarios desprevenidos a software malicioso. En ese contexto, se descubrió un instalador falso de Visual Studio que, disfrazado como auténtico, que contiene un infostealer denominado Cookie Stealer.

Amenaza en auge: el grupo de ransomware Cl0p explota vulnerabilidades en soluciones de transferencia de archivos

El grupo de ransomware CL0P, también conocido como TA505, ha comenzado a aprovechar una vulnerabilidad de inyección SQL en la solución de transferencia de archivos administrados de Progress Software (MOVEit Transfer). Esta vulnerabilidad permite al grupo capturar datos de las bases de datos subyacentes de MOVEit Transfer. TA505, conocido por su uso de ransomware y phishing, ha utilizado tácticas de doble extorsión en el pasado. Además, el grupo ha explotado otras soluciones de transferencia de archivos, como Accellion File Transfer (FTA) y Fortra/Linoma GoAnywhere MFT.

Amenazas de DDoS a entidades en región Europea

Desde el CSIRT Financiero se han identificado indicadores de Compromiso involucrados en amenaza de DDoS a una entidad financiera ubicada en Alemania, esto permitió recopilar una serie de IOC los cuales ayudarán a mitigar el riesgo ante posibles afectaciones al sector.

Amenazas relacionadas con COVID-19

El equipo del Csirt Financiero continúa identificado nuevos envíos de mensajes de correo electrónico con supuestos documentos relacionados con COVID-19, engañando a las personas, organizaciones y gobiernos para que los descarguen.

AMOS: El nuevo stealer que apunta a la seguridad de macOS

Aunque macOS ha sido tradicionalmente considerado como un sistema operativo más seguro que otros, los ciberdelincuentes siguen desarrollando y mejorando su arsenal de amenazas dirigidas a esta plataforma. Una de estas amenazas es el recientemente descubierto Atomic macOS Stealer (AMOS), un stealer diseñado para capturar información confidencial de las víctimas, incluyendo contraseñas, información de billeteras criptográficas, datos de navegadores web, archivos de usuario y detalles del sistema.

AMOS Stealer compromete usuarios de macOS mediante guías de soporte falsificadas en ChatGPT y Grok

Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente campaña asociada a AMOS Stealer que aprovecha plataformas de inteligencia artificial como ChatGPT y Grok para presentar guías falsas de solución de problemas en macOS mediante envenenamiento SEO.

Análisis Avanzado de APT asociada al Grupo TA505

Se ha identificado una nueva campaña del grupo de cibercriminales TA505 en la región de Latino América. Para esta campaña el grupo ha empleado el RAT SDBBot y el ransomware CLOP para exfiltrar y cifrar información de las posibles víctimas y obtener beneficios económicos.

Análisis avanzado de APT - Silence Group

Silence es un grupo APT con motivación económica cuyos objetivos son las entidades financieras a nivel internacional, actualizan constantemente sus TTP, evitando su detección y dificultando su análisis.

Análisis Avanzado de la amenaza Emotet

Emotet es un malware modular de la familia de los troyanos que funciona como descargador de otros troyanos, el objeto principal de este malware es capturar información. Utiliza técnicas de sniffing e inyección de código en los sistemas comprometidos. Desde CSIRT Financiero se han identificado muestras recientes de este malware y se ha realizado análisis con el objeto de establecer indicadores de compromiso y generar recomendaciones para prevenir y evitar cualquier afectación de este tipo de amenaza.

Análisis avanzado de malware “Troyano bancario Gozi”

Desde el CSIRT Financiero se realiza análisis avanzado al troyano bancario llamado Gozi, con el fin de examinar su comportamiento y de esta forma generar indicadores de compromiso, para poder establecer recomendaciones y controles adecuados que permitan prevenir y mitigar posibles incidentes de seguridad informática.

Análisis de actividad maliciosa asociadas con múltiples familias de troyanos

El equipo de analistas del Csirt Financiero ha identificado actividad maliciosa vinculada a la distribución de múltiples troyanos, incluyendo Lokibot, Formbook y Meterpreter, estas amenazas han sido utilizadas por ciberdelincuentes para infiltrarse en equipos comprometidos, capturar credenciales y exfiltrar datos sensibles.

Análisis de amenaza FrameworkPOS

En la búsqueda constante de nuevas amenazas, El CSIRT Financiero ha identificado un malware de nombre FrameworkPOS, (Point of Sale – Punto de venta). Este malware está orientado al robo de información de tarjetas de pago y se ha logrado encontrar que probablemente sea una variante del malware llamado GratefulPOS, MozartPOS. Investigadores atribuyen esta amenaza al grupo ciberdelincuente llamado FIN6.

Análisis de APT - FIN7

Desde el Csirt Financiero se han identificado campañas de FIN7, grupo cibercriminal con motivación económica, sus ataques tradicionalmente estan dirigidos a objetivos financieros incluyendo los sistemas de punto de venta o sistemas POS

Analisis de la actividad maliciosa de Redline Stealer

RedLine es un stealer que se comercializa en la Deep y Dark web como un servicio de malware. El equipo de Csirt financiero ha descubierto nuevos indicadores de compromiso asociados a esta amenaza, que incluyen archivos ejecutables y una dirección IP utilizada por grupos de ciberdelincuentes.

Análisis de malware Cerberus

Cerberus es un malware catalogado como troyano bancario, descubierto en junio de 2019, el troyano cuenta con múltiples técnicas para cumplir su objetivo principal que consiste en obtener credenciales de diferentes tipos de aplicaciones. Desde el CSIRT Financiero se evidenció que el malware Cerberus es alquilado en foros clandestinos, además, el grupo de amenazas de donde proviene el troyano interactúa con la comunidad a través de Twitter.