Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

IOC recientes del troyano IcedID

Durante procesos de monitoreo, se identificaron nuevos indicadores de compromiso (IOC) asociados al troyano bancario IcedID, caracterizado por ser modular y contar con capacidades que le permiten recopilar información sensible de los equipos infectados, además, de descargar, instalar y/o ejecutar otras familias de malware para maximizar su impacto.

CMDStealer, operación dirigida al sector financiero

Un desconocido actor de amenazas con objetivos financieros está desplegando campañas maliciosas a países como Portugal, México y Perú, con la finalidad de exfiltrar información bancaria de sus víctimas, dentro de las cuales se encuentran las credenciales de acceso. Para ello, emplean una táctica conocida como LOLBaS (Living Off the Land Binaries and Scripts) la cual se basa en la manipulación de binarios legítimos de los sistemas operativos para lograr sus actividades maliciosas, además, los cibercriminales se apoyan con scripts basados en CMD para comprometer la información de la víctima.

Nuevo troyano bancario denominado HelloTeacher

En el ecosistema de ciberseguridad en el sector financiero, los actores de amenaza implementan diversas familias de malware que tienen como propósito recopilar información bancaria de las víctimas para beneficio económico propio; estas amenazas son comúnmente conocidas como troyanos bancarios.

Amenaza en auge: el grupo de ransomware Cl0p explota vulnerabilidades en soluciones de transferencia de archivos

El grupo de ransomware CL0P, también conocido como TA505, ha comenzado a aprovechar una vulnerabilidad de inyección SQL en la solución de transferencia de archivos administrados de Progress Software (MOVEit Transfer). Esta vulnerabilidad permite al grupo capturar datos de las bases de datos subyacentes de MOVEit Transfer. TA505, conocido por su uso de ransomware y phishing, ha utilizado tácticas de doble extorsión en el pasado. Además, el grupo ha explotado otras soluciones de transferencia de archivos, como Accellion File Transfer (FTA) y Fortra/Linoma GoAnywhere MFT.

Nuevos IoC asociados al ransomware Black Basta

A medida que pasa el tiempo, los cibercriminales detrás del ransomware Black Basta actualizan esta amenaza y sus herramientas en pro de lograr tener éxito en sus actividades maliciosas, ya se conocen las altas capacidades que este tiene como la ofuscación de archivos para generar persistencia, realizar copia de sí mismo en la carpeta temporal del sistema y/o cifrar la información alojada en las infraestructuras tecnológicas comprometidas, inhabilitando el acceso a la misma e impactando de forma crítica a las organizaciones.

Nueva actividad maliciosa del ransomware Blackcat

El ransomware BlackCat ha sido una de las amenazas más utilizadas por grupos de ciberdelincuentes generando grandes afectaciones a organizaciones en Latinoamérica, con un gran impacto en la disponibilidad de la información de organizaciones públicas y privadas como universidades y fuerzas militares, por lo que es importante realizar un seguimiento constante de esta amenaza donde se logran identificar nuevos indicadores de compromiso relacionados a BlackCat.

El nuevo Stealer Stealc toma popularidad entre ciberdelincuentes

Últimamente emergen nuevas familias de malware casi a diario en el panorama de amenazas, es así como se ha rastreado Stealc un nuevo stealer que ha ganado popularidad en la web oscura debido a su agresiva promoción de capacidades de captura de datos, además de tener funcionalidades basadas en los stealer Vidar, Raccoon, Mars y Redline.

Nueva actividad del troyano de acceso remoto Parallax RAT

Recientemente se identificó una nueva campaña relacionada con el troyano de acceso remoto conocido como Parallax que está atacando empresas de criptomonedas mediante técnicas de inyección que le permiten ocultarse en procesos legítimos. Una vez que el malware se inyecta, los atacantes pueden interactuar con la víctima a través del Bloc de notas de Windows.

Nueva campaña del loader Bumblebee suplantando DocuSign

En el ejercicio de monitorear las actividades maliciosas de las amenazas recurrentes en el ciberespacio se identificó una nueva campaña de phishing que ha estado suplantando DocuSign (una empresa de tecnología que ofrece soluciones de firma electrónica y gestión de documentos en línea) en un intento por persuadir a los usuarios para que descarguen un artefacto malicioso que contiene la carga útil de Bumblebee.

Emerge un nuevo RAT denominado Hiatus

Últimamente la proliferación de amenazas es recurrente en el ciberespacio por lo que es común que emerjan nuevas familias de malware, en particular, se ha identificado un nuevo troyano de acceso remoto denominado Hiatus que recopila información de los sistemas infectados y la envía a un servidor de comando y control.

Emerge un nuevo ransomware denominado Sirattacker

Emerge una nueva variante de ransomware en el panorama de amenazas denominado Sirattacker derivada del builder del grupo Chaos, esta fue detectada por primera vez en febrero de 2023 y afecta sistemas operativos Windows.

Nuevo criptominero denominado ScrubCrypt

El grupo minero de criptomonedas conocido como 8220 Gang ha sido observado utilizando un nuevo criptominero llamado ScrubCrypt para llevar a cabo operaciones de criptojacking (ciberataque en la que un delincuente utiliza la potencia de procesamiento de un equipo de otra persona sin su consentimiento para minar criptomonedas) mediante la explotación de vulnerabilidades de Oracle WebLogic.

Nueva variante del troyano bancario Xenomorph

Se conoce que esta amenaza es propiedad de Hadoken Security Group, una operación cibercriminal que continúa mejorando el código malicioso de Xenomorph, llamando a su nueva versión Xenomorph.C, la cual admite un nuevo sistema de transferencia automatizada (ATS) y va dirigido a más de 400 entidades bancarias en países como España, Turquía, Polonia, Estados Unidos, Australia, Canadá, Italia, entre otros.

Nueva actualización en el código del troyano bancario Emotet

El equipo de analistas del Csirt Financiero hace seguimiento a las amenazas potenciales que puedan generar afectación sobre la infraestructura informática de los asociados, en esta ocasión se observó nueva actividad maliciosa del troyano bancario Emotet con nuevas técnicas de evasión, con esto se identificaron nuevos indicadores de compromiso que tienen como objetivo afectar la confidencialidad de su entidad.

Nuevo troyano bancario para Android denominado GoatRAT

Recientemente, se ha identificado una nueva variante de troyano bancario denominado GoatRAT, dirigido a sistemas operativos Android, cuenta con capacidades que le permiten realizar transferencias bancarias sin autorización e interacción del usuario, explotando el nuevo sistema de pago automatizado que ha sido impulsado por bancos brasileños.

Surge una nueva versión del inyector DotRunpeX

DotRunpeX ganó notoriedad entre noviembre de 2022 y enero de 2023, con el mayor número de ataques observados en diciembre de 2022. Está amenaza continúa evolucionando y se han observado una docenas de campañas que lo emplean como una infección de segunda etapa. Este inyector DotNet se utiliza para ofrecer varias familias de malware diferentes, principalmente relacionadas con stealer, RAT, loaders y downloaders.

Nueva actividad maliciosa dirigida a Colombia por parte del troyano de acceso remoto Asyncrat

El troyano de acceso remoto AsyncRAT es una de las familias de malware más distribuida por diversos grupos de ciberdelincuentes en los últimos años, así mismo, se evidencian nuevas campañas maliciosas que afectan a Colombia y el sector financiero; de acuerdo con lo anterior, se identificaron nuevos indicadores de compromiso asociados a esta amenaza.

Nuevo loader denominado AresLoader

AresLoader es un nuevo malware de carga como servicio (Malware as a Service) ofrecido por actores de amenazas con vínculos con el hacktivismo ruso que fue visto recientemente en el ciberespacio. El servicio ofrece una herramienta "binder" que permite a los atacantes obtener acceso remoto a sistemas y desplegar cargas útiles adicionales.

Nuevos artefactos asociados a RedLine stealer

RedLine es un stealer (ladrón de información) el cual es comercializado a través de foros clandestinos de la Deep y Dark web bajo la modalidad de Malware como servicio (MaaS - Malware as a Service), en esta ocasión el equipo de analistas del Csirt financiero identificó nuevos indicadores de compromiso asociados a esta amenaza en los que se encuentra archivos de tipo ejecutables (EXE) y direcciones IP.

Nuevos indicadores de compromiso asociados al troyano de acceso remoto NanoCore

El equipo de analistas del Csirt Financiero realiza constantes monitoreos al ciberespacio en busca de nuevas campañas maliciosas y/o amenazas con altas capacidades que puedan llegar a afectar la infraestructura tecnológica de los asociados, por lo anterior se identificaron nuevos indicadores de compromiso del troyano de acceso remoto denominado NanoCore RAT.