Alertas de seguridad

Uso de Clickfix y Havoc Demon para la distribución de malware

Durante el monitoreo realizado por el equipo de analistas del Csirt Financiero, se ha detectado una nueva campaña de distribución de malware que emplea la técnica de ingeniería social ClickFix y el marco de C2 de código abierto Havoc Demon.

Nueva campaña distribuye Medusa Ransomware

El equipo de analistas del Csirt Financiero ha identificado una nueva campaña que distribuye Medusa Ransomware, también conocido como MedusaBlog, una amenaza activa desde junio de 2021 que afecta equipos Windows y aplica una estrategia de doble extorsión.

Nueva campaña de Red Akodon distribuye AsyncRAT

Recientemente, se ha identificado una nueva campaña del grupo de amenazas persistente Red Akodon dirigida a organizaciones en Colombia, en la cual el actor de amenazas distribuye AsyncRAT.

Técnicas de distribución de malware empleadas por el grupo Larva-208

Durante el monitoreo realizado por el equipo de analistas del Csirt Financiero, se han identificado nuevas técnicas de distribución de malware empleadas por el grupo de amenazas Larva-208, también conocido como EncryptHub.

Nueva distribución del stealer Phantom Goblin

El equipo de analistas del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con Phantom Goblin, un stealer diseñado para capturar credenciales y otros datos sensibles almacenados en navegadores web, esta amenaza emplea técnicas de ingeniería social y se distribuye principalmente a través de campañas de phishing con archivos adjuntos en formato RAR que contienen accesos directos (LNK) maliciosos, su ejecución activa comandos de PowerShell que descargan cargas útiles desde GitHub, permitiendo la captura de información y el establecimiento de túneles en Visual Studio Code (VSCode) para mantener acceso remoto no autorizado.

Ransomware M142 HIMARS una nueva amenaza basada en MedusaLocker

A través del monitoreo continúo realizado por el equipo de analistas del Csirt Financiero, se identificó una nueva variante de ransomware denominada M142 HIMARS, la cual pertenece a la familia MedusaLocker, un grupo de ransomware activo desde 2019 que opera bajo el modelo de "Ransomware-as-a-Service" (RaaS)

TÉCNICAS DE DISTRIBUCIÓN DE MALWARE MEDIANTE LA CAMPAÑA DENOMINADA GRASSCALL

El equipo de analistas del Csirt Financiero ha identificado una nueva campaña de distribución del malware Rhadamanthys y AMOS conocida como "GrassCall", que emplea tácticas de ingeniería social para comprometer usuarios en búsqueda de empleo dentro del sector de criptomonedas, mediante la suplantación de identidad de empresas legítimas y el uso de plataformas de mensajería y agendamiento de citas.

NUEVAS TÉCNICAS DE DISTRIBUCIÓN DEL RANSOMWARE EBYTE

Durante el monitoreo realizado por el equipo de analistas del Csirt Financiero, se han identificado nuevas técnicas de distribución del ransomware EByte, una variante basada en el lenguaje de programación “Go” que implementa mecanismos de cifrado y persistencia en equipos comprometidos, empleando el algoritmo ChaCha20 para cifrar archivos y ECIES para la transmisión segura de claves, dificultando la recuperación de la información afectada mediante métodos convencionales.

Nueva actividad relacionada con Strela Stealer

Durante las actividades de monitoreo realizadas por el equipo del Csirt Financiero, se ha identificado nueva actividad relacionada con el stealer Strela. Se trata de una amenaza que compromete sistemas a través de técnicas de ejecución de código malicioso, aprovechando vulnerabilidades en la configuración de seguridad y en la gestión de archivos ejecutables. Utiliza métodos como la manipulación de scripts y el abuso de herramientas legítimas del sistema para evadir detección y obtener persistencia.

Nueva actividad maliciosa vinculada a GuLoader detectada

El equipo de analistas del Csirt Financiero ha identificado actividad maliciosa relacionada con GuLoader, con registros desde diciembre de 2019. Esta amenaza, clasificada como un loader, actúa como la primera fase en una cadena de infección, facilitando la descarga e instalación de diversas amenazas.

Infección de Akira ransomware a través de cámaras para evadir detección

El equipo de analistas del Csirt Financiero ha identificado una nueva modalidad de ataque relacionada con Akira ransomware, el cual se distribuye a través de cámaras web con el objetivo de evadir detección. Estos ataques han sido atribuidos a un grupo APT que lleva el mismo nombre del ransomware.

Nueva actividad maliciosa asociada con múltiples familias de troyanos de acceso remoto

El equipo de analistas del Csirt Financiero ha identificado actividad maliciosa relacionada con múltiples troyanos de acceso remoto, incluyendo AgentTesla, RemcosRAT, njRAT y QuasarRAT, estas amenazas han sido utilizadas en diversas campañas dirigidas contra sectores empresariales, gubernamentales e industriales, con el objetivo de infiltrarse en equipos, capturar credenciales y exfiltrar información confidencial, su método principal de distribución es el envío de mensajes de correo electrónico fraudulentos con archivos adjuntos maliciosos, enlaces engañosos y descargas desde sitios web comprometidos.

Nueva actividad maliciosa relacionada al ransomware Lucky

El equipo de analistas del Csirt Financiero ha identificado una nueva actividad maliciosa asociada a Lucky, una variante del ransomware MedusaLocker que está diseñado para cifrar archivos y extorsionar a sus víctimas mediante el pago de un rescate. Lucky se propaga a través de credenciales RDP comprometidas y campañas de phishing dirigidas, lo que le permite infiltrarse en infraestructuras de múltiples sectores, incluyendo el financiero.

Nueva actividad maliciosa relacionada a múltiples troyanos bancarios

Durante el monitoreo realizado por el equipo de analistas del Csirt Financiero, se identificó nueva actividad maliciosa vinculada a múltiples troyanos bancarios, entre ellos Cosmic Banker, Grandoreiro, URSA y Guildma, los cuales buscan capturar credenciales, interceptar transacciones y facilitar accesos no autorizados a plataformas financieras, representando un riesgo significativo para la seguridad de las entidades y sus usuarios.

Nueva actividad maliciosa relacionada con Lumma y Zhong Stealer

Durante el monitoreo realizado por el equipo de analistas del Csirt Financiero, se identificaron nuevas técnicas de distribución de los stealer Lumma y Zhong, diseñados para exfiltrar información confidencial de equipos infectados, incluyendo credenciales, datos bancarios e información personal.

Reciente campaña de distribución de Akira Ransomware en Colombia

El equipo de analistas del Csirt Financiero ha identificado una reciente campaña de distribución de Akira ransomware el cual tiene como objetivo principal cifrar información crítica y exigir un pago económico para su recuperación, empleando además un modelo de doble extorsión mediante la exfiltración previa de información.

Nueva actividad relacionada con FleshStealer y Snake Stealer

El equipo de analistas del Csirt Financiero ha detectado nueva actividad maliciosa vinculada a FleshStealer y SnakeStealer, amenazas especializadas en la captura y exfiltración de información sensible, estos stealer, activos desde septiembre de 2024 y noviembre de 2020 respectivamente, poseen capacidades avanzadas para obtener credenciales, información financiera y códigos de autenticación multifactor (2FA), principalmente afectan aplicaciones como navegadores, clientes de correo y billeteras de criptomonedas, utilizando técnicas para evadir la detección y mantener accesos persistentes en los equipos comprometidos.

Nueva actividad relacionada a CobaltStrike

El equipo de analistas del CSIRT Financiero ha identificado una nueva actividad asociada a Cobalt Strike, una herramienta utilizada tanto en pruebas de seguridad legítimas como por ciberdelincuentes para comprometer infraestructuras tecnológicas, convirtiéndose en un vector altamente efectivo para la captura y exfiltración de información confidencial.

Grupo norcoreano distribuye malware para Android

Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó al grupo norcoreano ScarCruft distribuyendo un malware para dispositivos móviles.

Nueva campaña de phishing propaga diversas familias de malware

El Csirt Financiero ha identificado una nueva campaña de phishing vinculada al grupo APT Storm-1865, caracterizada por la distribución de múltiples familias de malware entre las que se incluyen XWorm, LummaStealer, VenomRAT, AsyncRAT, Danabot y NetSupportRAT.

Alertas de seguridad

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.