Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

TA547 utiliza el stealer Rhadamanthys en nueva campaña maliciosa

El equipo de analistas del Csirt Financiero ha descubierto una nueva actividad maliciosa asociada al Stealer Rhadamanthys, distribuido por un actor de amenazas conocido como TA547, activo desde noviembre de 2017 y motivado por razones financieras. Rhadamanthys, un malware como servicio (MaaS) desarrollado en lenguaje C, tiene como objetivo obtener datos confidenciales de los usuarios, como credenciales de inicio de sesión y detalles financieros.

TajMahal, nuevo y sofisticado APT

Es un marco de APT desconocido y técnicamente sofisticado descubierto por Kaspersky Lab.

Técnica AppDomainManager ejecuta malware en Windows

El equipo del Csirt Financiero evidenció la inyección de AppDomainManager es una técnica avanzada utilizada por cibercriminales para ejecutar malware en sistemas Windows, aprovechando la redirección de versiones en .NET Framework. Al crear un archivo de configuración específico, los actores malintencionados pueden manipular un archivo EXE legítimo para cargar una DLL maliciosa. Esta DLL contiene una clase que hereda de AppDomainManager, lo que permite ejecutar código malicioso a través de la función InitializeNewDomain.

Técnicas de distribución de malware empleadas por el grupo Larva-208

Durante el monitoreo realizado por el equipo de analistas del Csirt Financiero, se han identificado nuevas técnicas de distribución de malware empleadas por el grupo de amenazas Larva-208, también conocido como EncryptHub.

TÉCNICAS DE DISTRIBUCIÓN DE MALWARE MEDIANTE LA CAMPAÑA DENOMINADA GRASSCALL

El equipo de analistas del Csirt Financiero ha identificado una nueva campaña de distribución del malware Rhadamanthys y AMOS conocida como "GrassCall", que emplea tácticas de ingeniería social para comprometer usuarios en búsqueda de empleo dentro del sector de criptomonedas, mediante la suplantación de identidad de empresas legítimas y el uso de plataformas de mensajería y agendamiento de citas.

Técnicas de distribución del stealer Rhadamanthys

Durante las actividades de monitoreo del Csirt Financiero se identificaron nuevas técnicas de distribución de Rhadamanthys, un stealer que se propaga mediante archivos XML con extensión MSC, los cuales permiten ejecutar tareas en Microsoft Management Console (MMC)

Técnicas de infección de malware Nodersok sin uso de archivos

Se ha identificado una campaña de malware denominado Nodersok por Microsoft o Divergent por Cisco Talos, que utiliza técnicas avanzadas como activar malware ejecutando un archivo HTA (Hypertext Application o HTML Application) que actúa conjuntamente con Internet Explorer, el cual inicia el proceso de infección a través de varias etapas que pueden utilizar scripts de JS y PowerShell que generalmente vienen cifrados. El fin del malware es convertir la máquina víctima en un posible zombi proxy para poder ser aprovechada y tener acceso a sus recursos.

Técnicas de ofuscación y ejecución encubierta empleadas por Water Gamayun en cargas cifradas basadas en Powershell

El contenido que se va a compartir presenta un análisis de la campaña de intrusión atribuida al grupo Water Gamayun, un APT que utiliza dominios comprometidos para distribuir un archivo RAR que desencadena la explotación de la vulnerabilidad MSC EvilTwin en MMC, permitiendo la ejecución de cadenas de PowerShell ofuscado y la carga del loader ItunesC.exe en equipos corporativos Windows.

Técnicas utilizadas por el troyano bancario Danabot

El troyano bancario Danabot identificado por primera vez en el año 2018, distribuido como servicio (Malware as a Service - MaaS) es dirigido a equipos con sistema operativo Microsoft Windows, tanto estaciones de trabajo (Workstation) como servidores (Server) con el objetivo principal de capturar información confidencial; en esta ocasión se observaron algunas técnicas de ofuscación utilizadas por este troyano y con ello se identificaron nuevos indicadores de compromiso.

Tendencias recientes de malware tipo Stealer

Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una tendencia creciente en la actividad de malware de tipo stealer, caracterizada por una amplia variedad de mecanismos de distribución, técnicas de evasión y vectores de entrega observados en periodos recientes.

Thiefquest el malware dirigido a MacOS

El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, una nueva amenaza dirigida a Sistemas MacOS, se trata del malware conocido como ThiefQuest o EvilQuest. Los ciberdelincuentes introdujeron funcionalidades maliciosas en versiones de aplicaciones de seguridad como Little Snitch y en las aplicaciones Ableton y Mixed In Key utilizadas para la reproducción de música.

ThirdEye: Un nuevo Infostealer que captura diversa información de los sistemas infectados.

Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero y con apoyo de diversas fuentes de información abiertas, en busca de nuevas amenazas o campañas maliciosas que puedan llegar a afectar la infraestructura tecnológica de los asociados, se identificó un nuevo Infostealer denominado ThirdEye, el cual tiene grandes capacidades para recopilar diversa información del sistema infectado.

THOR, variante del troyano de acceso remoto PlugX

En el monitoreo a fuentes abiertas de información, el equipo del Csirt Financiero ha identificado una variante del troyano de acceso remoto (RAT) PlugX, denominado THOR. Dicha variante se visualizó en el pasado ciberataque de Microsoft Exchange Server en marzo de 2021, donde los ciberdelincuentes explotaron las vulnerabilidades CVE-2021-26855 y CVE-2021-27065 para acceder a los servidores de Exchange locales.

TinyPos

Paquete de malware para puntos POS (conjunto de herramientas de hardware y software, que principalmente permite a los negocios facturar ventas, llevar el control de flujo de caja, inventarios, etc.), el paquete no parece ser la carga útil principal de malware, más bien parece una carga adicional para los troyanos de banca Emotet o IcedID.

Título: Campañas De Phishing Son Distribuidas Mediante Google Drawings Y Whatsapp

Durante el monitoreo constante en búsqueda de acciones maliciosas, el equipo del Csirt Financiero encontró que los ciberdelincuentes hacen uso de Google Drawings y WhatsApp para alojar campañas de phishing de redireccionamiento abierto, las cuales se basan en enlaces que dirigen a los usuarios a un sitio aparentemente legítimo y luego los redireccionan a un sitio controlado por ciberdelincuentes, con el fin de exfiltrar información sensible.

Nueva variante del backdoor SysJoker

Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó una nueva variante del backdoor llamado SysJoker.

Título: Nuevos indicadores de compromiso asociados a Emotet.

Mediante el continuo monitoreo realizado por el equipo del Csirt Financiero a posibles amenazas que afecten el sector, se han identificado nuevos indicadores de compromiso asociados al troyano modular Emotet cuyo vector de ataque principal es la captura de información sensible del usuario infectado.

ToxicEYE RAT utiliza Telegram como medio de comunicación con su servidor de comando y control

En el monitoreo realizado a fuentes abiertas de información, el equipo de Csirt Financiero ha identificado una nueva actividad maliciosa del troyano de acceso remoto denominado ToxicEYE RAT, el cual está usando Telegram como medio de comunicación entre el RAT instalado en el equipo infectado y el servidor de comando y control (C2).

TransferLoader: un nuevo loader avanzado

Mediante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una nueva amenaza denominada TransferLoader, un loader que ha estado activo desde febrero de 2025 y que se compone de tres módulos principales.

Transparent Tribe usa ObliqueRAT

En el continuo monitoreo realizado a fuentes abiertas de información por parte del Csirt Financiero, se ha logrado identificar una campaña ejercida por Transparent Tribe, también conocido como APT36 o Mythic Leopard.