Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Xhelper, el nuevo Dropper [Descargador de malware]

Su posible método de infección es a través de descargas de aplicaciones maliciosas de tiendas de terceros o por medio de engaños realizados por los ciberdelincuentes. Generalmente Xhelper se aloja en los dispositivos móviles de los usuarios y genera persistencia, esto con el fin de que, al momento de ser detectado, no pueda ser eliminado del dispositivo.

Malware asociado al grupo Lazarus

Desde el CSIRT Financiero se ha identificado malware que se propaga a través de un fichero Excel con macros incrustadas, su distribución se realiza a través de redes sociales como Messenger y Telegram; este malware es atribuido al grupo “Lazarus” (Grupo anónimo de ciberdelincuentes).

Campaña de Malspam distribuyendo TrickBot, IcedID y Ursnif

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados a una nueva campaña que distribuye tres tipos de troyanos bancarios, esta campaña envía correos electrónicos no deseados con las cargas útiles de TrickBot, IcedID y Ursnif, las cuales hacen parte de las familias de troyanos bancarios con más actividad en el año 2019.

Campaña de malspam que distribuyen el malware Negasteal y Ave_Maria.

Desde el CSIRT Financiero se han evidenciado indicadores de compromiso relacionados con Negasteal y Ave_Maria, los cuales han sido ofuscados y compilados por medio de AutoIT [lenguaje de secuencias de comandos que originalmente es destinado a automatizar tareas básicas en la interfaz de usuario de Windows]

FriedEx, el ransomware BitPaymer

Desde las fuentes de información del CSIRT Financiero, se identificó actividad del ransomware FriedEx el cual fue asociado al ransomware conocido como BitPaymer, BitPaymer se enfoca en empresas de alto nivel con el fin de expandirse a todos los dispositivos a través de la red y cifrar sus archivos para obtener claramente beneficios monetarios.

Actividad reciente del troyano DanaBot

Por medio de fuentes de información el CSIRT Financiero ha conocido una nueva campaña de amenazas asociada al troyano DanaBot. Este malware generalmente se distribuye por medio de correo electrónico en la que se adjunta una url, o un archivo comprimido .rar o de office que contiene macros que al ser habilitados descargan este malware.

Campaña que distribuye el malware Raccoon Stealer

Desde las fuentes de información del CSIRT Financiero se ha identificado una nueva campaña que usa el malware Raccoon Stealer, muy utilizado por parte de los ciberdelincuentes desde abril del año en curso, esto ha causado afectaciones en diversos sectores. El método más común para la distribución de este malware se hace a través de phishing, descarga de software comprometido o mediante kits de exploits.

Nuevos indicadores de compromiso analizados relacionados con Cobalt Group

Por medio de fuentes de información el CSIRT Financiero ha conocido una nueva campaña de amenazas asociada al grupo de amenazas Cobalt, esta se destaca por el uso del código malicioso llamado CoolPants, una puerta trasera que ha tenido uso desde el año 2018 y es considerado como una evolución del backdoor conocido CobInt. El método de distribución de esta amenaza es a través de spearphishing.

Campaña de grupo Magecart vinculado a malware Carbanak y Dridex

Se ha identificado una campaña de phishing que emplea avisos de facturas falsas para distribuir el malware Dridex, esta campaña se atribuye al grupo 5 de Magecart, su método principal de propagación es mediante correo electrónico, la relación de atribución a este grupo se hace debido a la relación de indicadores de compromiso identificados en campañas de dridex y magecart5.

Nuevas campañas del grupo APT TA505

El CSIRT Financiero a identificado nueva actividad del grupo TA505, en la que se evidencian tres campañas de phishing dirigidas a personas de habla griega, inglesa y francesa, en las que se envían correos con asuntos que pretenden engañar a los usuarios para que abran una URL o archivo adjunto, con el fin de lograr que se descargue la infección de malware llamado Get2.

Nuevos indicadores de compromiso, esta vez relacionados con el troyano bancario Gustuff

Gustuff es un troyano bancario diseñado para dispositivos móviles [Android] capaz de obtener credenciales bancarias de una gran lista de aplicaciones de banca móvil. Su método de infección es a través de mensajes de texto [SMS] con enlaces a archivos APK maliciosos.

Nuevos indicadores de compromiso relacionados con el troyano bancario Emotet.

El CSIRT Financiero mediante sus fuentes de información ha identificado un aumento en las campañas del troyano bancario conocido como Emotet, cada una de las campañas busca obtener información confidencial y privada, sin embargo, cada día han realizado ajustes en el código con el fin de evitar ser detectados, crear persistencia en los sistemas infectados e incluso, ser puente para inyectar nuevos códigos maliciosos.

Nuevos indicadores de compromiso asociados a campaña de FIN7

Fin7 es un grupo de ciberdelincuentes, del cual se tiene registro de actividad aproximadamente desde el año 2015. Este grupo desarrolló diferentes campañas enviando de manera masiva código malicioso por correo electrónico, es de aclarar que la gran mayoría de sus campañas han sido dirigidas al sector financiero con el fin de obtener datos sensibles de los usuarios afectados o en el peor de los casos, hasta ejecución de comandos remotos en cajeros automáticos ATM para lograr extraer dinero de los mismos.

ATM Boostwrite, descargador de múltiples variantes de malware

Desde las fuentes de información del CSIRT Financiero se ha identificado una muestra del malware Boostwrite, el cual está asociado al grupo de amenazas APT FIN7; el malware Boostwrite es un dropper (descargador de malware) dirigido a cajeros automáticos, con el fin de ejecutar diferentes tipos de malware en el ATM infectado, hasta el momento se desconoce el método de propagación de la infección.

Nueva campaña de phishing distribuye troyano Ursnif/Dridex

Desde las fuentes de información del CSIRT Financiero se ha identificado una muestra del malware Boostwrite asociado al grupo de amenazas APT FIN7; este malware es un dropper (descargador) dirigido a cajeros automáticos, con el fin de ejecutar diferentes tipos de malware en el ATM infectado, hasta el momento se desconoce el método de propagación de la infección.

Nuevos indicadores de compromiso asociados a Cobalt Group

Desde las fuentes de información del CSIRT Financiero se han identificado nuevas campañas de distribución del troyano bancario CobInt a través de campañas de malspam, las cuales son asociadas a Cobalt Group. Para estas campañas en específico se utilizaron correos electrónicos maliciosos enviados desde Gateways.

Nueva campaña del grupo TA505 busca diseminar el descargador Get2 en conjunto al RAT SDBbot.

Desde las fuentes de información del CSIRT Financiero se ha encontrado que el grupo de amenazas TA505, ha liberado una nueva campaña de tipo malspam hacia los usuarios de internet. De modo que busca afectar diversos sectores, entre ellos el financiero. Esta nueva campaña busca infectar a los usuarios con el troyano RAT SDBbot a partir de su nuevo troyano descargador Get2.

Jackpotting, técnica que utilizan los ciberdelincuentes para instalar malware Cutlet Maker

Por medio de fuentes de información el CSIRT Financiero ha identificado nuevos detalles de la técnica conocida como Jackpotting, esta ha sido utilizada por ciberdelincuentes para obtener acceso a dispositivos ATM y dar paso a la instalación de Cutlet Maker, un malware que va dirigido a obtener la manipulación de los cajeros automáticos para lograr la expulsión de dinero.

Nueva campaña de malspam busca infectar a usuarios con RemcosRAT

Desde el CSIRT Financiero se han analizado nuevos indicadores de compromiso asociados a la herramienta de administración remota RemcosRAT. Esta herramienta permite a los ciberdelincuentes obtener acceso total a las máquinas de los usuarios una vez han sido infectados por medio de documentos maliciosos, estos documentos son distribuidos por medio de campañas de malspam, donde una vez es ejecutado el archivo malicioso sobre las máquinas de los usuarios, descargan una variante de RemcosRAT que podría ser utilizada para la extracción de información del usuario o incluso credenciales de acceso.

Nueva campaña de correo malicioso distribuyendo malware Emotet

Se ha identificado actividad reciente de una nueva campaña de correos maliciosos distribuyendo el malware Emotet, la campaña busca aprovecharse de los usuarios poco precavidos al interactuar con correos de este tipo y de esta manera lograr que los usuarios descarguen el malware en mención y así lograr capturar datos personales y credenciales.