Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.
Nuevos indicadores de compromiso asociados a MekotioEn el monitoreo realizado por el Csirt Financiero, se evidenció la existencia de nuevos indicadores de compromiso IoC asociados al malware Mekotio. Esta amenaza cibernética es considerada un troyano bancario dirigido principalmente a países de América Latina como Brasil, Chile, México, España y Perú entre otros y cuya actividad data del año 2015, fecha que desde entonces ha presentado cambios constantes a sus características mejorando funcionalidades para causar mayor impacto en los equipos comprometidos.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-mekotiohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero, se evidenció la existencia de nuevos indicadores de compromiso IoC asociados al malware Mekotio. Esta amenaza cibernética es considerada un troyano bancario dirigido principalmente a países de América Latina como Brasil, Chile, México, España y Perú entre otros y cuya actividad data del año 2015, fecha que desde entonces ha presentado cambios constantes a sus características mejorando funcionalidades para causar mayor impacto en los equipos comprometidos.
APT Blacktech utiliza diferentes herramientas de malwareEl equipo del Csirt Financiero ha identificado que el grupo APT BlackTech o Palmerworm ha tenido actividad reciente que permite observar importantes capacidades para generar afectación en el sistema operativo Windows y en el kernel de Linux.http://csirtasobancaria.com/Plone/alertas-de-seguridad/apt-blacktech-utiliza-diferentes-herramientas-de-malwarehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado que el grupo APT BlackTech o Palmerworm ha tenido actividad reciente que permite observar importantes capacidades para generar afectación en el sistema operativo Windows y en el kernel de Linux.
Vulnerabilidades en Cisco Security ManagerEn el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado tres vulnerabilidades que afectan el producto Cisco Security Manager.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-en-cisco-security-managerhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado tres vulnerabilidades que afectan el producto Cisco Security Manager.
Nuevos indicadores de compromiso asociados a EmotetEn el monitoreo realizado por el Csirt Financiero, se ha observado actividad por parte del troyano modular Emotet, enfocado a la captura y exfiltración de información financiera, así como la descarga de malware adicional en los equipos comprometidos con sistema operativo Windows. Esta amenaza cibernética se distribuye a través de mensajes de correo electrónico malspam con adjuntos maliciosos diseñados para persuadir al usuario a que descargue y acceda al contenido, momento en el cual se inicia el proceso de infección.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-emotet-9http://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero, se ha observado actividad por parte del troyano modular Emotet, enfocado a la captura y exfiltración de información financiera, así como la descarga de malware adicional en los equipos comprometidos con sistema operativo Windows. Esta amenaza cibernética se distribuye a través de mensajes de correo electrónico malspam con adjuntos maliciosos diseñados para persuadir al usuario a que descargue y acceda al contenido, momento en el cual se inicia el proceso de infección.
Regresa el envenenamiento de cache de DNSEn el monitoreo realizado por el Csirt Financiero, se ha observado múltiples fallas de seguridad críticas que pueden generar una reactivación de los ataques de envenenamiento de cache de DNS, el cual consiste en obtener control sobre un servidor DNS y realizar modificaciones de direccionamiento IP logrando con esto, redirigir a los usuarios a otros sitios web controlados por los ciberdelincuentes, en donde realizan la captura de información confidencial o descargan en el equipo de la víctima algún tipo de malware.http://csirtasobancaria.com/Plone/alertas-de-seguridad/regresa-el-envenenamiento-de-cache-de-dnshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero, se ha observado múltiples fallas de seguridad críticas que pueden generar una reactivación de los ataques de envenenamiento de cache de DNS, el cual consiste en obtener control sobre un servidor DNS y realizar modificaciones de direccionamiento IP logrando con esto, redirigir a los usuarios a otros sitios web controlados por los ciberdelincuentes, en donde realizan la captura de información confidencial o descargan en el equipo de la víctima algún tipo de malware.
Aumento de actividad de cibercriminales y explotación de vulnerabilidades en LATAMDurante los últimos meses, el equipo de analistas del Csirt Financiero ha observado un incremento de publicaciones sobre accesos iniciales a entidades bancarias. Estas publicaciones se han creado en foros asociados con el cibercrimen, donde se venden accesos a diferentes bancos mediante vulnerabilidades descubiertas.http://csirtasobancaria.com/Plone/alertas-de-seguridad/aumento-de-actividad-de-cibercriminales-y-explotacion-de-vulnerabilidades-en-latamhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Durante los últimos meses, el equipo de analistas del Csirt Financiero ha observado un incremento de publicaciones sobre accesos iniciales a entidades bancarias. Estas publicaciones se han creado en foros asociados con el cibercrimen, donde se venden accesos a diferentes bancos mediante vulnerabilidades descubiertas.
Nueva variante del troyano de acceso remoto CRAT con grandes capacidades evasivasEn el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado la presencia de una nueva variante del troyano de acceso remoto CRAT que afecta equipos con sistemas operativos Windows. Esta nueva variante se ha caracterizado por sus técnicas de evasión ante los sistemas antimalware al permitirle la ofuscación de código mediante clave XOR, ocultar los llamados a la API utilizadas, ejecutar parches sobre de funciones o rutinas en el momento de la ejecución para evadir los mecanismos de detección y las direcciones URL del servidor de comando y control (C2) con que establece comunicación.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-variante-del-troyano-de-acceso-remoto-crat-con-grandes-capacidades-evasivashttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado la presencia de una nueva variante del troyano de acceso remoto CRAT que afecta equipos con sistemas operativos Windows. Esta nueva variante se ha caracterizado por sus técnicas de evasión ante los sistemas antimalware al permitirle la ofuscación de código mediante clave XOR, ocultar los llamados a la API utilizadas, ejecutar parches sobre de funciones o rutinas en el momento de la ejecución para evadir los mecanismos de detección y las direcciones URL del servidor de comando y control (C2) con que establece comunicación.
Backdoor ModPipe afecta a clientes de Oracle Micros RES 3700 POSEn el monitoreo a fuentes abiertas, el equipo del Csirt financiero ha observado el accionar de un backdoor modular con altas capacidades de afectación sobre el software Oracle Micros RES 3700 POS (Suite integrada de software para restaurantes). Los ciberdelincuentes al comprometer los sistemas pueden recopilar contraseñas de bases de datos, descifrándolas directamente de los valores de registro de Windows.http://csirtasobancaria.com/Plone/alertas-de-seguridad/backdoor-modpipe-afecta-a-clientes-de-oracle-micros-res-3700-poshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas, el equipo del Csirt financiero ha observado el accionar de un backdoor modular con altas capacidades de afectación sobre el software Oracle Micros RES 3700 POS (Suite integrada de software para restaurantes). Los ciberdelincuentes al comprometer los sistemas pueden recopilar contraseñas de bases de datos, descifrándolas directamente de los valores de registro de Windows.
CostaRicto APT distribuye malware a entidades financieras y de entretenimientoEn el monitoreo realizado por el Csirt Financiero, se ha evidenciado actividad del grupo cibercriminal denominado CostaRicto, el cual ha realizado diversas campañas para la distribución de malware desde el mes de octubre de 2019 y hasta la fecha, este grupo APT ha enfocado parte de sus ataques a instituciones financieras a países en el continente asiático y en otras regiones países como: EEUU, Australia, Francia y Holanda entre otros.http://csirtasobancaria.com/Plone/alertas-de-seguridad/costaricto-apt-distribuye-malware-a-entidades-financieras-y-de-entretenimientohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero, se ha evidenciado actividad del grupo cibercriminal denominado CostaRicto, el cual ha realizado diversas campañas para la distribución de malware desde el mes de octubre de 2019 y hasta la fecha, este grupo APT ha enfocado parte de sus ataques a instituciones financieras a países en el continente asiático y en otras regiones países como: EEUU, Australia, Francia y Holanda entre otros.
Vulnerabilidades críticas en Google ChromeEn el monitoreo de fuentes abiertas, el equipo del Csirt Financiero conoció dos vulnerabilidades día cero en el navegador Google Chrome, identificadas con los CVE 2020-16013 y 2020-16017; estas pueden afectar a sistemas operativos Windows, Linux y MacOS.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-criticas-en-google-chromehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo de fuentes abiertas, el equipo del Csirt Financiero conoció dos vulnerabilidades día cero en el navegador Google Chrome, identificadas con los CVE 2020-16013 y 2020-16017; estas pueden afectar a sistemas operativos Windows, Linux y MacOS.
Grupo cibercriminal utiliza herramientas para implantar ransomwareEn el monitoreo a fuentes abiertas de información, el equipo del Csirt financiero ha identificado un grupo APT denominado PyXie o GOLD DUPONT, el cual ha realizado campañas de infección con ransomware a múltiples empresas de sectores como tecnología, salud, educación y entidades gubernamentales desde el año 2018. Este grupo cibercriminal se ha caracterizado por tener un bajo perfil, ser lento y cauteloso en cada una de sus campañas.http://csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-cibercriminal-utiliza-herramientas-para-implantar-ransomwarehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt financiero ha identificado un grupo APT denominado PyXie o GOLD DUPONT, el cual ha realizado campañas de infección con ransomware a múltiples empresas de sectores como tecnología, salud, educación y entidades gubernamentales desde el año 2018. Este grupo cibercriminal se ha caracterizado por tener un bajo perfil, ser lento y cauteloso en cada una de sus campañas.
Nuevo ransomware Pay2Key compromete compañías israelíesEn el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado una campaña de distribución del ransomware en varias corporaciones israelíes. En estos ataques se pudo identificar varias cepas de ransomware Ryuk y REvil. Además de esto, se encontró una nueva variante de ransomware desarrollada en el lenguaje de programación en C++ denominada Pay2Key.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-ransomware-pay2key-compromete-companias-israelieshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado una campaña de distribución del ransomware en varias corporaciones israelíes. En estos ataques se pudo identificar varias cepas de ransomware Ryuk y REvil. Además de esto, se encontró una nueva variante de ransomware desarrollada en el lenguaje de programación en C++ denominada Pay2Key.
Campaña de malspam para distribuir el troyano bancario QbotEn el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado una campaña masiva de envío de mensajes de correo electrónico tipo malspam con temática sobre las elecciones presidenciales de Estados Unidos que tiene por objetivo distribuir el troyano bancario Qbot. Al igual Emotet, Qbot está empleando técnicas de secuestrando los hilos de los correos electrónicos para reenvíalos a los usuarios objetivos para propagarse y aumentando la credibilidad del mensaje malicioso.http://csirtasobancaria.com/Plone/alertas-de-seguridad/campana-de-malspam-para-distribuir-el-troyano-bancario-qbothttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha observado una campaña masiva de envío de mensajes de correo electrónico tipo malspam con temática sobre las elecciones presidenciales de Estados Unidos que tiene por objetivo distribuir el troyano bancario Qbot. Al igual Emotet, Qbot está empleando técnicas de secuestrando los hilos de los correos electrónicos para reenvíalos a los usuarios objetivos para propagarse y aumentando la credibilidad del mensaje malicioso.
Ataque masivo de Ransomware en BrasilEn el monitoreo realizado por el Csirt Financiero se ha evidenciado la existencia de nuevos ataques de Ransomware dirigidos contra la corte superior de justicia (STJ) de Brasil. El ataque se llevó a cabo el pasado martes durante las sesiones de juicio que eran llevadas a cabo por videoconferencia.http://csirtasobancaria.com/Plone/alertas-de-seguridad/ataque-masivo-de-ransomware-en-brasilhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero se ha evidenciado la existencia de nuevos ataques de Ransomware dirigidos contra la corte superior de justicia (STJ) de Brasil. El ataque se llevó a cabo el pasado martes durante las sesiones de juicio que eran llevadas a cabo por videoconferencia.
Infostealer Kpot la nueva herramienta del grupo RevilEl equipo del Csirt Financiero ha evidenciado que el grupo de ciberdelincuentes denominados REvil quienes son los autores detrás del ransomware Sodinokibi, han adquirido la última versión del InfoStealer KPOT.http://csirtasobancaria.com/Plone/alertas-de-seguridad/infostealer-kpot-la-nueva-herramienta-del-grupo-revilhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha evidenciado que el grupo de ciberdelincuentes denominados REvil quienes son los autores detrás del ransomware Sodinokibi, han adquirido la última versión del InfoStealer KPOT.
Nuevo ransomware RegretLockerEl equipo del Csirt Financiero ha identificado a través del monitoreo a fuentes abiertas, un nuevo ransomware denominado RegretLocker, el cual cifra los archivos afectados con la extensión .mouse. Cuando el proceso de cifrado se ha realizado en los archivos y directorios, aparecen las notas de rescate “HOW TO RESTORE FILES.txt” en el escritorio del equipo afectado.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-ransomware-regretlockerhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado a través del monitoreo a fuentes abiertas, un nuevo ransomware denominado RegretLocker, el cual cifra los archivos afectados con la extensión .mouse. Cuando el proceso de cifrado se ha realizado en los archivos y directorios, aparecen las notas de rescate “HOW TO RESTORE FILES.txt” en el escritorio del equipo afectado.
Grupo cibercriminal explota vulnerabilidad zero-day de SolarisEn el monitoreo realizado por el Csirt Financiero, se ha evidenciado la explotación de una vulnerabilidad zero-day en sistema operativo Solaris. El grupo cibercriminal detrás de este ataque es denominado UNC1945 y sus ataques incluyen entidades del sector de las telecomunicaciones, financiero y compañías de consultoría.http://csirtasobancaria.com/Plone/alertas-de-seguridad/grupo-cibercriminal-explota-vulnerabilidad-zero-day-de-solarishttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el Csirt Financiero, se ha evidenciado la explotación de una vulnerabilidad zero-day en sistema operativo Solaris. El grupo cibercriminal detrás de este ataque es denominado UNC1945 y sus ataques incluyen entidades del sector de las telecomunicaciones, financiero y compañías de consultoría.
Vulnerabilidades ZeroDay en Google ChromeEn el monitoreo a fuentes abiertas, el equipo del Csirt Financiero ha identificado una nueva actualización que Google ha realizado sobre el navegador web Chrome, solucionando varias vulnerabilidades incluidas dos Zero Day identificadas como CVE-2020-16009 (enfocado al navegador de escritorio para Windows Linux y Mac) y CVE-2020-16010 (enfocado al navegador para dispositivos Android). La nueva actualización estará disponible para su descarga los próximos días.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-zeroday-en-google-chromehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo a fuentes abiertas, el equipo del Csirt Financiero ha identificado una nueva actualización que Google ha realizado sobre el navegador web Chrome, solucionando varias vulnerabilidades incluidas dos Zero Day identificadas como CVE-2020-16009 (enfocado al navegador de escritorio para Windows Linux y Mac) y CVE-2020-16010 (enfocado al navegador para dispositivos Android). La nueva actualización estará disponible para su descarga los próximos días.
Biblioteca maliciosa de JavaScript abre puertas traserasEn el monitoreo realizado por el equipo del Csirt Financiero se conoció la actividad relacionada con la creación de una biblioteca maliciosa llamada twilio-npm, dicha biblioteca se publicó el pasado 30 de octubre del 2020 en el sitio NPM y pese a que se retiró del portal el mismo día a su descubrimiento, se pudo detallar que se descargó más de 370 veces; además de incluirse en los proyectos de JavaScript creados y administrados desde Node Package Manager (NPM).http://csirtasobancaria.com/Plone/alertas-de-seguridad/biblioteca-maliciosa-de-javascript-abre-puertas-traserashttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el equipo del Csirt Financiero se conoció la actividad relacionada con la creación de una biblioteca maliciosa llamada twilio-npm, dicha biblioteca se publicó el pasado 30 de octubre del 2020 en el sitio NPM y pese a que se retiró del portal el mismo día a su descubrimiento, se pudo detallar que se descargó más de 370 veces; además de incluirse en los proyectos de JavaScript creados y administrados desde Node Package Manager (NPM).
Vulnerabilidad hallada en Moxa Inc VPort 461En el monitoreo realizado por el equipo del Csirt Financiero se conoció una vulnerabilidad en Moxa Inc VPort 461 que compromete el firmware en versiones 3.4 y anteriores, que podría permitir a un ciberdelincuente remoto ejecutar comandos arbitrarios; vulnerabilidad a la cual se ha asignado el código CVE-2020-23639.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidad-hallada-en-moxa-inc-vport-461http://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo realizado por el equipo del Csirt Financiero se conoció una vulnerabilidad en Moxa Inc VPort 461 que compromete el firmware en versiones 3.4 y anteriores, que podría permitir a un ciberdelincuente remoto ejecutar comandos arbitrarios; vulnerabilidad a la cual se ha asignado el código CVE-2020-23639.
-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}