Alertas de seguridad

Durante las actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una campaña que distribuye Python RAT a través de dos paquetes maliciosos publicados en PyPI, identificados como spellcheckerpy y spellcheckpy.

Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una nueva actividad maliciosa que explota una vulnerabilidad crítica en WinRAR, identificada como CVE-2025-8088, la cual permite la escritura arbitraria de archivos fuera del directorio de extracción previsto.

El equipo de analistas del Csirt Financiero ha identificado actividad continúa asociada a Gh0stRAT, un troyano de acceso remoto con capacidades modulares orientadas al ciberespionaje y al control persistente de infraestructuras críticas.

Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se observó una reciente actividad relacionada con una actualización de seguridad de Microsoft que genera fallos en conexiones de Escritorio Remoto en equipos Windows.

Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una nueva campaña activa atribuida al actor de amenaza Larva-25012, observada inicialmente en Corea, orientada a la distribución de proxyware malicioso mediante la suplantación de aplicaciones legítimas, como Notepad++.

El equipo de analistas del Csirt Financiero ha identificado actividad asociada a FormBook, un troyano de acceso remoto comercializado bajo el modelo Malware-as-a-Service (MaaS), el cual ha mantenido una presencia constante en campañas dirigidas contra el sector empresarial y financiero, permitiendo a los cibercriminales capturar credenciales, registrar pulsaciones de teclado y exfiltrar información sensible desde equipos comprometidos.

Durante actividades de monitoreo realizadas por el equipo de analistas del Csirt Financiero, se identificó una campaña de phishing orientada a la exfiltración de credenciales de correo electrónico y al establecimiento de acceso remoto persistente mediante el abuso de herramientas legítimas de Monitoreo y Gestión Remota RMM. La campaña se apoya en correos electrónicos fraudulentos que suplantan a plataformas legítimas, los cuales redirigen a los usuarios a páginas diseñadas para capturar credenciales de múltiples proveedores de correo. Una vez comprometidas, dichas credenciales son utilizadas para desplegar de forma encubierta la herramienta LogMeIn Resolve, permitiendo a ciberdelincuentes mantener acceso remoto persistente a los sistemas afectados.