Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Nueva actividad maliciosa de Raccoon stealer

Raccoon Stealer, también conocido como Mohazo o Racealer, comúnmente utilizado para obtener información confidencial y datos bancarios, es una de las amenazas más mencionadas en el presente año por ser un stealer simple que les permitió a diversos grupos de ciberdelincuentes capturar y exfiltrar datos confidenciales en foros de la Deep y Dark web.

Nuevas técnicas asociadas a GuLoader

Recientemente, un e|quipo de investigadores identificó nuevas técnicas de evasión asociadas a GuLoader, también conocido como CloudEyE, donde utiliza un cargador desarrollado en código Shell de forma polimórfica (Que tiene o puede tener varias formas) con el objetivo de eludir a las herramientas de seguridad instaladas en las infraestructuras informáticas comprometidas como la detección de ser ejecutado en entornos virtualizados para finalizar sus procesos maliciosos.

Una nueva versión del troyano bancario Sova demuestra su constante evolución

En la naturaleza del panorama de amenazas es constante evidenciar la evolución de distintas familias de malware, debido a que tienden a proliferar en el ciberespacio con exitosas campañas como las del troyano bancario para Android “SOVA”; según la trazabilidad sus orígenes remontan a agosto del 2021, desde entonces se conocían cuatro versiones de esta amenaza, no obstante, recién se descubrió una quinta (V5).

Emergen nuevas variantes de W4SP stealer

En el ejercicio de monitorear las campañas en curso, relacionadas con actores de amenaza que emergen en la naturaleza descubrimos lo que parece ser el inicio de un nuevo esfuerzo por desplegar paquetes maliciosos a través de PyPI (Python Package Index); puntualmente se pretenden entregar el stealer W4SP, como una nueva variante que tiene nombres diferentes, pero con su mismo código fuente.

Nuevos indicadores de compromiso relacionados al troyano bancario Dridex

El equipo del Csirt Financiero, en un seguimiento de amenazas potenciales que pueden afectar la infraestructura tecnológica de los asociados, se observó nuevos indicadores de compromiso (IoC) relacionados al troyano bancario Dridex, el cual tiene como principal objetivo la captura de credenciales de acceso a plataformas y cuentas bancarias, tarjetas de crédito y otros servicios adicionales como PayPal y Amazon.

Nuevos IoC asociados al troyano Ursa

Recientemente, se identificó nueva actividad en la cual estaba implicado el troyano URSA luego de dos años desde su publicación oficial, en estas se ha observado que impacta a los usuarios por medio de un cargador sofisticado. Sus funciones principales son la recopilación de credenciales de acceso alojadas en los navegadores web y en programas utilizados para los servicios de FTP (Protocolo de transferencia de archivos); por otro lado, también suele realizar la superposición de un sitio web falso asociado a la entidad financiera de sus víctimas.

Nuevo stealer denominado RisePro

A través de actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero en busca de nuevas campañas y amenazas maliciosas, se identificó la aparición de un nuevo stealer denominado RisePro, el cual parece ser una variante sencilla de PrivateLoader, un loader utilizado para descargar y ejecutar varias cargas útiles en el equipo comprometido.

Nueva versión del troyano bancario GodFather para dispositivos Android

El equipo de analistas del Csirt Financiero realizó un monitoreo al ciberespacio en busca de nuevas campañas y/o amenazas que puedan afectar la infraestructura de nuestros asociados, donde se observó una nueva versión del troyano bancario denominado Godfather, el cual se cree es el sucesor de Anubis, otro troyano bancario que ha sido muy utilizado, pero que es detectado por las actualizaciones en los sistemas operativos Android.

Cibercriminales de Vice Society actualizan su ransomware

Recientemente se ha identificado actividad asociada al grupo cibercriminal Vice Society, en la cual se observaron novedades asociadas a su ransomware como un nuevo proceso de cifrado que emplea los algoritmos NTRUEncrypt y Chacha20-poly1305, volviéndolo más robusto. Se conoce que este grupo ha estado activo desde 2021, desde entonces han estado impactando a múltiples organizaciones y generando doble extorsión debido a la exfiltración de la data alojada en las infraestructuras informáticas.

Emergen nuevas variantes de ransomware basadas en Conti

Desde la filtración del código fuente del ransomware Conti en el ciberespacio, se han generado nuevas familias basadas en este, entre estos anteriormente habíamos reportado Meow y BlueSky; no obstante, se continúan identificando en la naturaleza, otras variantes como Putin Team, ScareCrow y Monti por mencionar algunas.

Nueva actualización de ZeroBot

En este último mes, se ha estado evidenciando nueva actividad maliciosa de la familia de malware Zerobot, donde constantemente está recibiendo actualizaciones relacionadas a sus capacidades y métodos de propagación; en esta ocasión, se identificó que esta botnet está utilizando la explotación de vulnerabilidades en servidores Apache, para acceder a las infraestructuras tecnológicas objetivo.

Nueva versión de Nokoyawa

Este ransomware fue identificado por primera vez en febrero de 2022, donde se observaron ataques de doble extorsión debido a la exfiltración de data sensible y filtrado de archivos; inicialmente fue desarrollado en lenguaje C, junto con criptografía de curva elíptica (ECC) con SECT233R1 y el método de Salsa20 para la actividad de cifrado. En su nueva versión se observó que los ciberdelincuentes utilizaron el lenguaje Rust, con el objetivo de tener más flexibilidad en la ejecución de procesos a través de la configuración en la línea de comandos.

Royal ransomware y su conexión con Conti Team One

Recientemente se ha identificado conexión entre el nuevo grupo de ransomware Royal y Conti Team One, dado a que ciberdelincuentes experimentados de este último mencionado hacen parte de Royal ransomware; que fue nombrado en principio como Zeon ransomware y posteriormente fue a actualizado a como lo conocemos actualmente.

La Botnet Glupteba aumenta sus infecciones

Se conoce que Glupteba se ha encontrado activa desde 2011, desde entonces se han podido identificar aproximadamente 1 millón de infraestructuras informáticas con sistemas operativos Windows que hacen parte de esta red, así mismo, en su momento Google anunció que dio de baja a Glupteba, que fue desarrollada con el objetivo de recopilar y exfiltrar datos sensibles de los usuarios como credenciales de acceso realizar minería, implementar proxy que les permiten canalizar el tráfico de red.

Nueva actividad asociada al ransomware LockBit

El equipo de analistas del Csirt Financiero, realizo un monitoreo en el ciberespacio donde se observó un nuevo ataque de los actores de amenaza del ransomware LockBit afectando al departamento de finanzas de California (DOF), donde afirmaron que el ransomware había capturado 75 GB de archivos.

Nueva campaña maliciosa distribuye el loader DarkTortilla

En un monitoreo realizado por el equipo de analistas del Csirt Financiero, se observó una nueva campaña maliciosa de ciberdelincuentes distribuyendo el loader DarkTortilla el cual ha estado activo desde 2015 actuando como dropper y generando instalaciones de múltiples stealer y troyanos de acceso remoto (RAT).

Nuevos IoC asociados a Emotet

El equipo de analistas del Csirt Financiero hace seguimiento a las amenazas potenciales que puedan generar afectación sobre la infraestructura informática de los asociados, de acuerdo con esto se han observado nuevos indicadores de compromiso (IOC) relacionados al troyano Emotet, donde su principal objetivo es la recopilación de información alojada en los equipos comprometidos como credenciales de acceso.

Nuevo troyano bancario dirigido a dispositivos Android denominado BrasDex

Los troyanos bancarios dirigidos a dispositivos Android, son una parte importante del panorama de amenazas visto en la naturaleza, dado que su impacto sobre las víctimas está ligado a captura de información sensible que conlleva a fraudes financieros; asimismo representa ganancias económicas para los operadores, en ese orden de ideas se ha descubierto un nuevo troyano denominado BrasDex, que está siendo desplegado en una masiva campaña en Brasil.

Nueva actividad maliciosa del troyano bancario Zanubis en América latina

Mediante monitoreo realizado por el equipo de analistas del Csirt Financiero se observó una nueva actividad del troyano bancario para Android denominado Zanubis, el cual ha sido reportado en ocasiones anteriores por el Csirt donde se había observado una campaña dirigida a América latina, en esta ocasión se identifican nuevos indicadores de compromiso del ataque dirigido al sector financiero de Perú en septiembre del 2022.

Nueva actividad maliciosa del ransomware BlackByte

Los actores de amenaza detrás del ransomware BlackByte realizan constantes actualizaciones en su código fuente para hacer de este ransomware una amenaza más sofisticada y elaborada para poder llegar a infectar y cifrar información confidencial a equipos con sistemas operativos Windows.