Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Nueva actividad maliciosa del ransomware Medusalocker

A través de un monitoreo realizado por el equipo de analistas del Csirt financiero a fuentes abiertas de información se identificaron nuevos indicadores de compromiso relacionados con el ransomware denominado MedusaLocker el cual ha tenido un aumento en su actividad recientemente y ha afectado a organizaciones de América latina pertenecientes a todos los sectores económicos, incluyendo el financiero.

Nuevo Kit de herramientas denominado AlienFox empleado para ataques a servicios en la nube

El kit de herramientas AlienFox es utilizado por ciberdelincuentes para buscar servidores mal configurados y capturar secretos de autenticación y credenciales de servicios de correo electrónico basados en la nube. El kit se vende en un canal privado de Telegram y está dirigido a configuraciones erróneas comunes en servidores asociados con marcos web populares.

Nuevos indicadores de compromiso asociados a BianLian ransomware

Entre las amenazas más reconocidas en el ámbito de ciberseguridad el ransomware es uno de los tipos de malware más peligrosos que existen; esto debido a su capacidad de cifrar, modificar y/o eliminar archivos almacenados en el sistema informático comprometido.

Se identifican nuevos artefactos del troyano bancario Lokibot

Aunque Lokibot ha sido reportado en ocasiones anteriores, el equipo de analistas del Csirt Financiero identificó una reciente actividad maliciosa de esta amenaza, recopilando nuevos indicadores de compromiso (IoC) los cuales están siendo distribuidos por diversos grupos de ciberdelincuentes con fines delictivos para capturar información confidencial.

Flujo de operación de una campaña de malspam que entrega el troyano IcedID

Recientemente se identificó una campaña de malspam que distribuye la carga útil del troyano bancario IcedID mediante una imagen ISO oculta que contiene un archivo LNK para ejecutar una serie de acciones maliciosas a la infraestructura tecnológica de las víctimas; los atacantes utilizan comandos de descubrimiento para recopilar información sobre el entorno y escalar privilegios.

Campaña masiva de ataques a páginas web de WordPress mediante el backdoor Balad Injector

Más un millón de sitios web de WordPress han sido comprometidos durante una campaña que comenzó en 2017 y que utiliza todas las vulnerabilidades de temas y complementos conocidas y recientemente descubiertas para inyectar una puerta trasera que afecta sistemas Linux llamada Balad Injector; esta campaña tiene como objetivo principal redirigir a páginas falsas de soporte técnico, victorias fraudulentas de lotería y realizar estafas de notificación.

El downloader Pure crypter descarga diversas familias de malware

Recientemente el equipo de analistas del Csirt Financiero identificó nueva actividad relacionada a Pure Crypter un downloader el cual está reapareciendo y realizando afectaciones a organizaciones gubernamentales a nivel mundial, generando la descarga de diversos tipos de malware como ransomware y troyanos de acceso remoto, gracias a estas nuevas actividades se generan nuevos indicadores de compromiso relacionados a Pure Crypter.

Nueva actividad maliciosa del troyano AsyncRAT dirigida a organizaciones de Colombia

El troyano de acceso remoto conocido como AsyncRAT está diseñado para conceder acceso remoto a un atacante que puede recopilar información sensible del sistema y del usuario para luego exfiltrarla, gracias a sus altas capacidades es una de las amenazas más utilizadas por grupos de ciberdelincuentes a nivel mundial y en esta ocasión el equipo del Csirt Financiero identificó una nueva campaña dirigida a organizaciones de Colombia, por lo que es importante resaltar este tipo de actividad con el fin de prevenir alguna afectación a su entidad.

El nuevo framework EX-22 emerge entre las herramientas de los adversarios

Al realizar seguimiento a las principales herramientas que hacen parte del arsenal actual de los ciberdelincuentes en la orquestación de sus ataques, se ha observado un nuevo framework de ataque denominado EXFILTRATOR-22 (EX-22) que tiene como objetivo desplegar ransomware dentro de las redes de sus víctimas de forma encubierta.

Nueva actividad maliciosa del ransomware Royal

A través de fuentes abiertas de información el equipo de analistas del Csirt Financiero identifico una nueva actividad maliciosa del ransomware Royal, donde se observaron nuevas capacidades de esta amenaza y a su vez nuevos indicadores de compromisos relacionados a Royal ransomware.

Emerge otra familia de ransomware basada en Chaos denominada SkullLocker

SkullLocker es una nueva amenaza en el panorama actual, identificada como una nueva variante de la familia de ransomware Chaos, su objetivo principal es cifrar los archivos en equipos infectados y exigir el pago por la llave de descifrado. Asimismo, puede afectar a varias ubicaciones y extensiones de archivo, con más de 300 extensiones diferentes que incluyen archivos de texto, imágenes, audio, video y varios formatos de documentos y bases de datos.

Nueva actualización del ransomware LockBit

Recientemente, se observó una nueva actividad maliciosa en la que se identificó que el grupo de ciberdelincuentes del ransomware LockBit han empezado a utilizar una nueva variante denominada LockBit Green, conteniendo algunas funcionalidades que implementaba el ransomware Conti, por lo que puede ser más atractivo para los que están afiliados a este, ya que se pueden familiarizar de forma rápida con esta nueva actualización.

Campaña masiva del troyano bancario Mispadu

El troyano bancario Mispadu, también conocido como URSA, ha estado involucrado en múltiples campañas de spam en países como Bolivia, Chile, México, Perú y Portugal, desde agosto de 2022. Su objetivo es capturar credenciales de las víctimas al acceder a banca en línea, escuelas, servicios gubernamentales, redes sociales, juegos, comercio electrónico, repositorios públicos, etc. Los atacantes utilizaron una estrategia de infección en varias etapas y técnicas de ofuscación para evadir la detección.

Nuevos indicadores de compromiso asociados a BitRAT

Mediante actividades de monitoreo a fuentes abiertas de información en busca de nuevas campañas y/o amenazas que puedan afectar la infraestructura tecnológica de los asociados, el equipo de analistas del Csirt Financiero identificó nuevos indicadores de compromiso relacionados con actividades recientes de BitRAT, el cual es un troyano de acceso remoto comercializado desde febrero del 2021 en foros clandestinos de la Deep y Dark web.

Cibercriminales de Vice Society actualizan su ransomware

Recientemente se ha identificado actividad asociada al grupo cibercriminal Vice Society, en la cual se observaron novedades asociadas a su ransomware como un nuevo proceso de cifrado que emplea los algoritmos NTRUEncrypt y Chacha20-poly1305, volviéndolo más robusto. Se conoce que este grupo ha estado activo desde 2021, desde entonces han estado impactando a múltiples organizaciones y generando doble extorsión debido a la exfiltración de la data alojada en las infraestructuras informáticas.

Emergen nuevas variantes de W4SP stealer

En el ejercicio de monitorear las campañas en curso, relacionadas con actores de amenaza que emergen en la naturaleza descubrimos lo que parece ser el inicio de un nuevo esfuerzo por desplegar paquetes maliciosos a través de PyPI (Python Package Index); puntualmente se pretenden entregar el stealer W4SP, como una nueva variante que tiene nombres diferentes, pero con su mismo código fuente.

Nuevos IoC asociados a Emotet

El equipo de analistas del Csirt Financiero hace seguimiento a las amenazas potenciales que puedan generar afectación sobre la infraestructura informática de los asociados, de acuerdo con esto se han observado nuevos indicadores de compromiso (IOC) relacionados al troyano Emotet, donde su principal objetivo es la recopilación de información alojada en los equipos comprometidos como credenciales de acceso.

Nueva campaña maliciosa distribuye el loader DarkTortilla

En un monitoreo realizado por el equipo de analistas del Csirt Financiero, se observó una nueva campaña maliciosa de ciberdelincuentes distribuyendo el loader DarkTortilla el cual ha estado activo desde 2015 actuando como dropper y generando instalaciones de múltiples stealer y troyanos de acceso remoto (RAT).

Nuevo criptominero denominado ProxyShellMiner explota vulnerabilidades de Microsoft Exchange

Recientemente se identificó una nueva campaña distribuyendo el criptominero 'ProxyShellMiner' que afecta equipos con sistemas Microsoft Windows, esta amenaza utiliza las vulnerabilidades de Microsoft Exchange ProxyShell para implementar cargas útiles de mineros de criptomonedas en toda la red de una organización, permitiendo a los atacantes tomar el control completo del servidor de Exchange y pivotar a otras partes de la red.

Nuevo backdoor rastreado como Frebniis abusa de Microsoft ISS

El panorama de amenazas continúa proliferando nuevas familias de malware, en esta ocasión se ha detectado un nuevo backdoor llamado Frebniis que aprovecha una característica de los Servicios de información de Internet de Microsoft (IIS) para ejecutar comandos sigilosamente a través de solicitudes web e implementarse en sistemas específicos.