Nueva actividad de ShadowPad RAT dirigido a organizaciones de LatinoaméricaEl troyano de acceso remoto Shadowpad RAT fue inicialmente publicado como una herramienta legítima de acceso remoto en el 2021, en ese mismo año varios actores de amenaza la empezaron a implementar con fines delictivos; en esta ocasión, se observó a un grupo de ciberdelincuentes con origen en china conocido como DEV-0147 apuntando a organizaciones en América latina distribuyendo esta familia de malware.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-de-shadowpad-rat-dirigido-a-organizaciones-de-latinoamericahttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El troyano de acceso remoto Shadowpad RAT fue inicialmente publicado como una herramienta legítima de acceso remoto en el 2021, en ese mismo año varios actores de amenaza la empezaron a implementar con fines delictivos; en esta ocasión, se observó a un grupo de ciberdelincuentes con origen en china conocido como DEV-0147 apuntando a organizaciones en América latina distribuyendo esta familia de malware.
Surge una campaña maliciosa con nuevas amenazasEl equipo de analistas del Csirt Financiero realizó un monitoreo al ciberespacio en busca de nuevas amenazas y/o actividades maliciosas que puedan afectar la infraestructura de los asociados, donde se identificó una campaña motivada financieramente distribuyendo dos amenazas nuevas, siendo una de ellas un ransomware denominado MortalKombat y el otro una variante del clipper Laplas.http://csirtasobancaria.com/Plone/alertas-de-seguridad/surge-una-campana-maliciosa-con-nuevas-amenazashttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del Csirt Financiero realizó un monitoreo al ciberespacio en busca de nuevas amenazas y/o actividades maliciosas que puedan afectar la infraestructura de los asociados, donde se identificó una campaña motivada financieramente distribuyendo dos amenazas nuevas, siendo una de ellas un ransomware denominado MortalKombat y el otro una variante del clipper Laplas.
Dark Caracal APT emplea una nueva versión del spyware Bandook en objetivos de América LatinaEl grupo de Dark Caracal APT ha reaparecido con una nueva campaña de infección de computadoras en América Central y Latina. La campaña está activa desde marzo de 2022, desde entonces han conseguido establecerse en cientos de equipos en más de una docena de países. El grupo utiliza una nueva versión del spyware Bandook para apuntar a sistemas operativos Microsoft Windows, teniendo como foco principal la República Dominicana y Venezuela.http://csirtasobancaria.com/Plone/alertas-de-seguridad/dark-caracal-apt-emplea-una-nueva-version-del-spyware-bandook-en-objetivos-de-america-latinahttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El grupo de Dark Caracal APT ha reaparecido con una nueva campaña de infección de computadoras en América Central y Latina. La campaña está activa desde marzo de 2022, desde entonces han conseguido establecerse en cientos de equipos en más de una docena de países. El grupo utiliza una nueva versión del spyware Bandook para apuntar a sistemas operativos Microsoft Windows, teniendo como foco principal la República Dominicana y Venezuela.
Nueva variante de la botnet Mirai denominada V3G4Mirai es una botnet activa desde el año 2016, los ciberdelincuentes detrás de esta amenaza cibernética ofrecen el servicio para realizar ataques con malware tipo Spam o denegación de servicios distribuidos DDoS, entre otros. Recientemente se han identificado nuevas variantes de esta botnet y en esta ocasión se observó una nueva denominada V3g4, la cual viene realizando explotaciones a vulnerabilidades en servidores basados en el sistema operativo Linux y dispositivos IoT para usarlos en ataques DDoS.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-variante-de-la-botnet-mirai-denominada-v3g4http://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mirai es una botnet activa desde el año 2016, los ciberdelincuentes detrás de esta amenaza cibernética ofrecen el servicio para realizar ataques con malware tipo Spam o denegación de servicios distribuidos DDoS, entre otros. Recientemente se han identificado nuevas variantes de esta botnet y en esta ocasión se observó una nueva denominada V3g4, la cual viene realizando explotaciones a vulnerabilidades en servidores basados en el sistema operativo Linux y dispositivos IoT para usarlos en ataques DDoS.
Nueva actividad maliciosa del troyano bancario MekotioRecientemente el equipo de analistas del Csirt Financiero identificó nuevos indicadores de compromiso del troyano bancario conocido como Mekotio, esta nueva campaña está dirigida a países de Latinoamérica con el objetivo de capturar datos confidenciales de entidades financieras, en donde los actores detrás de amenaza implementan nuevas (TTP) con el fin de no ser detectadas por soluciones de seguridad y tecnologías de detección antimalware.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-maliciosa-del-troyano-bancario-mekotiohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Recientemente el equipo de analistas del Csirt Financiero identificó nuevos indicadores de compromiso del troyano bancario conocido como Mekotio, esta nueva campaña está dirigida a países de Latinoamérica con el objetivo de capturar datos confidenciales de entidades financieras, en donde los actores detrás de amenaza implementan nuevas (TTP) con el fin de no ser detectadas por soluciones de seguridad y tecnologías de detección antimalware.
Nueva actividad maliciosa del troyano de acceso remoto Quasar RATAunque el troyano de acceso remoto Quasar RAT ha sido reportado anteriormente por el Csirt, es importante resaltar sus recientes actividades maliciosas, donde a través de fuentes de información abierta se han identificado nuevos indicadores de compromiso relacionados a Quasar RAT, el cual se encuentra dirigido a entidades financieras y en sus últimas campañas a estado dirigida a Colombia.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-maliciosa-del-troyano-de-acceso-remoto-quasar-rathttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Aunque el troyano de acceso remoto Quasar RAT ha sido reportado anteriormente por el Csirt, es importante resaltar sus recientes actividades maliciosas, donde a través de fuentes de información abierta se han identificado nuevos indicadores de compromiso relacionados a Quasar RAT, el cual se encuentra dirigido a entidades financieras y en sus últimas campañas a estado dirigida a Colombia.
El ransomware Magniber reaparece con nuevas capacidades para generar persistencia.Mediante diferentes fuentes de información abiertas, el equipo de analistas del Csirt Financiero realizó un monitoreo en busca de campañas y amenazas que puedan afectar la infraestructura de los asociados, donde se identificó actividades recientes del ransomware Magniber implementando técnicas para generar persistencia en los equipos comprometidos.http://csirtasobancaria.com/Plone/alertas-de-seguridad/el-ransomware-magniber-reaparece-con-nuevas-capacidades-para-generar-persistenciahttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante diferentes fuentes de información abiertas, el equipo de analistas del Csirt Financiero realizó un monitoreo en busca de campañas y amenazas que puedan afectar la infraestructura de los asociados, donde se identificó actividades recientes del ransomware Magniber implementando técnicas para generar persistencia en los equipos comprometidos.
Nueva actividad maliciosa del troyano bancario LokibotA través de un monitoreo a fuentes abiertas de información el equipo de analistas del Csirt financiero identifico nuevos indicadores de compromiso relacionados con Lokibot, una de las amenazas más utilizadas por grupos de ciberdelincuentes gracias a sus altas capacidades, por lo que es importante realizar las actualizaciones correspondientes a este tipo de actividades que ayuden a prevenir cualquier tipo de afectación a su entidad.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-actividad-maliciosa-del-troyano-bancario-lokibothttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través de un monitoreo a fuentes abiertas de información el equipo de analistas del Csirt financiero identifico nuevos indicadores de compromiso relacionados con Lokibot, una de las amenazas más utilizadas por grupos de ciberdelincuentes gracias a sus altas capacidades, por lo que es importante realizar las actualizaciones correspondientes a este tipo de actividades que ayuden a prevenir cualquier tipo de afectación a su entidad.
Indicadores de compromiso recientes del troyano IcedIDDurante procesos de inteligencia, se identificaron nuevos indicadores de compromiso (IoC) asociados al troyano bancario IcedID, caracterizado por ser modular y contar con capacidades que le permiten recopilar información sensible de los equipos infectados, además, de descargar, instalas y/o ejecutar otras familias de malware para maximizar su impacto.http://csirtasobancaria.com/Plone/alertas-de-seguridad/indicadores-de-compromiso-recientes-del-troyano-icedidhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Durante procesos de inteligencia, se identificaron nuevos indicadores de compromiso (IoC) asociados al troyano bancario IcedID, caracterizado por ser modular y contar con capacidades que le permiten recopilar información sensible de los equipos infectados, además, de descargar, instalas y/o ejecutar otras familias de malware para maximizar su impacto.
El Bootkit UEFI denominado BlackLotus toma protagonismo en el panorama de amenazasLa orquestación de ataques cibernéticos se vuelve más sofisticado con herramientas como el bootkit de arranque UEFI conocido como BlackLotus, que omite la característica de seguridad de la plataforma UEFI Secure Boot. Los bootkits UEFI son amenazas muy poderosas que pueden controlar todo el proceso de arranque del sistema operativo y deshabilitar varios mecanismos de seguridad.http://csirtasobancaria.com/Plone/alertas-de-seguridad/el-bootkit-uefi-denominado-blacklotus-toma-protagonismo-en-el-panorama-de-amenazashttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
La orquestación de ataques cibernéticos se vuelve más sofisticado con herramientas como el bootkit de arranque UEFI conocido como BlackLotus, que omite la característica de seguridad de la plataforma UEFI Secure Boot. Los bootkits UEFI son amenazas muy poderosas que pueden controlar todo el proceso de arranque del sistema operativo y deshabilitar varios mecanismos de seguridad.
Nuevo malware para cajeros automáticos denominado FiXSMediante un monitoreo realizado por el equipo de analistas del Csirt Financiero en diversas fuentes de información abiertas se identificó un nuevo malware denominado FiXS dirigido a la región de Latinoamérica, donde los bancos de México fueron los primeros afectados por este software malicioso.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-malware-para-cajeros-automaticos-denominado-fixshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Mediante un monitoreo realizado por el equipo de analistas del Csirt Financiero en diversas fuentes de información abiertas se identificó un nuevo malware denominado FiXS dirigido a la región de Latinoamérica, donde los bancos de México fueron los primeros afectados por este software malicioso.
Se identifican nuevos IoC asociados al troyano bancario QakBotEl equipo de analistas del Csirt Financiero realizó un monitoreo al ciberespacio, en busca de campañas o amenazas que pueden afectar la infraestructura tecnológica de los asociados, donde se identificaron nuevos indicadores de compromiso relacionados con el troyano bancario QakBot también conocido como Qbot que ha sido utilizado por diversos ciberdelincuentes desde el año 2007.http://csirtasobancaria.com/Plone/alertas-de-seguridad/se-identifican-nuevos-ioc-asociados-al-troyano-bancario-qakbothttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo de analistas del Csirt Financiero realizó un monitoreo al ciberespacio, en busca de campañas o amenazas que pueden afectar la infraestructura tecnológica de los asociados, donde se identificaron nuevos indicadores de compromiso relacionados con el troyano bancario QakBot también conocido como Qbot que ha sido utilizado por diversos ciberdelincuentes desde el año 2007.
Blind Eagle mantiene una activa campaña maliciosa en contra de entidades colombianasEl grupo de ciberespionaje APT-C-36, también conocido como Blind Eagle, ha estado desplegando campañas en Colombia desde 2019. Comúnmente utilizan correos electrónicos tipo phishing para dirigirse a entidades específicas y estratégicas en sectores clave, incluyendo salud, finanzas, judiciales, gubernamentales, entre otros. Además, también se han descubierto campañas dirigidas a Ecuador, Chile y España.http://csirtasobancaria.com/Plone/alertas-de-seguridad/blind-eagle-mantiene-una-activa-campana-maliciosa-en-contra-de-entidades-colombianashttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El grupo de ciberespionaje APT-C-36, también conocido como Blind Eagle, ha estado desplegando campañas en Colombia desde 2019. Comúnmente utilizan correos electrónicos tipo phishing para dirigirse a entidades específicas y estratégicas en sectores clave, incluyendo salud, finanzas, judiciales, gubernamentales, entre otros. Además, también se han descubierto campañas dirigidas a Ecuador, Chile y España.
Nuevos IoC asociados al ransomware Black BastaA medida que pasa el tiempo, los cibercriminales detrás del ransomware Black Basta actualizan esta amenaza y sus herramientas en pro de lograr tener éxito en sus actividades maliciosas, ya se conocen las altas capacidades que este tiene como la ofuscación de archivos para generar persistencia, realizar copia de sí mismo en la carpeta temporal del sistema y/o cifrar la información alojada en las infraestructuras tecnológicas comprometidas, inhabilitando el acceso a la misma e impactando de forma crítica a las organizaciones.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-ioc-asociados-al-ransomware-black-bastahttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A medida que pasa el tiempo, los cibercriminales detrás del ransomware Black Basta actualizan esta amenaza y sus herramientas en pro de lograr tener éxito en sus actividades maliciosas, ya se conocen las altas capacidades que este tiene como la ofuscación de archivos para generar persistencia, realizar copia de sí mismo en la carpeta temporal del sistema y/o cifrar la información alojada en las infraestructuras tecnológicas comprometidas, inhabilitando el acceso a la misma e impactando de forma crítica a las organizaciones.
Nuevos artefactos del troyano bancario TrickbotEn el ciberespacio son constantes las nuevas actualizaciones a diferentes amenazas utilizadas por diversos grupos de ciberdelincuentes que emplean nuevas infraestructuras, nuevos vectores de infección y nuevos métodos para propagar distintos malware con el objetivo de afectar algunos de los pilares de la seguridad; en esta ocasión el equipo de analistas del Csirt Financiero identificó nuevos indicadores de compromiso relacionados al troyano bancario Trickbot el cual ha evolucionado con el tiempo ya que en sus inicios sólo poseía características de troyano bancario dirigido exclusivamente a capturar credenciales de cuentas bancarias para luego ejecutar acciones fraudulentas.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-artefactos-del-troyano-bancario-trickbothttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el ciberespacio son constantes las nuevas actualizaciones a diferentes amenazas utilizadas por diversos grupos de ciberdelincuentes que emplean nuevas infraestructuras, nuevos vectores de infección y nuevos métodos para propagar distintos malware con el objetivo de afectar algunos de los pilares de la seguridad; en esta ocasión el equipo de analistas del Csirt Financiero identificó nuevos indicadores de compromiso relacionados al troyano bancario Trickbot el cual ha evolucionado con el tiempo ya que en sus inicios sólo poseía características de troyano bancario dirigido exclusivamente a capturar credenciales de cuentas bancarias para luego ejecutar acciones fraudulentas.
Emerge un nuevo troyano bancario denominado NeXusNeXus es un nuevo troyano bancario que ha sido identificado recientemente que está siendo promovido por un actor de amenazas (TA) en un foro de cibercrimen ruso. Este malware es utilizado por grupos de ciberdelincuentes para infiltrarse en dispositivos móviles y capturar credenciales de aplicaciones bancarias específicas y es compatible con versiones de Android que van desde la versión “Lollipop" hasta Android 13.http://csirtasobancaria.com/Plone/alertas-de-seguridad/emerge-un-nuevo-troyano-bancario-denominado-nexushttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
NeXus es un nuevo troyano bancario que ha sido identificado recientemente que está siendo promovido por un actor de amenazas (TA) en un foro de cibercrimen ruso. Este malware es utilizado por grupos de ciberdelincuentes para infiltrarse en dispositivos móviles y capturar credenciales de aplicaciones bancarias específicas y es compatible con versiones de Android que van desde la versión “Lollipop" hasta Android 13.
Emerge un nuevo ransomware con funcionalidades de clipper denominado BlackSnakeEl ransomware es una amenaza cada vez más sofisticada y peligrosa, y los actores de amenazas están siempre buscando nuevas formas de extorsionar a las víctimas. Una nueva variante llamada BlackSnake ha sido descubierta recientemente, y entre sus capacidades puede realizar operaciones de clipper dirigidas a usuarios de criptomonedas, cabe mencionar que esta amenaza se ha creado en función de la fuente del ransomware Chaos.http://csirtasobancaria.com/Plone/alertas-de-seguridad/emerge-un-nuevo-ransomware-con-funcionalidades-de-clipper-denominado-blacksnakehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El ransomware es una amenaza cada vez más sofisticada y peligrosa, y los actores de amenazas están siempre buscando nuevas formas de extorsionar a las víctimas. Una nueva variante llamada BlackSnake ha sido descubierta recientemente, y entre sus capacidades puede realizar operaciones de clipper dirigidas a usuarios de criptomonedas, cabe mencionar que esta amenaza se ha creado en función de la fuente del ransomware Chaos.
Nueva variante del ransomware IceFire dirigida a LinuxLa primeras actividades de IceFire se observaron a finales de 2022, sin embargo, recientemente, investigadores de seguridad identificaron una nueva variante dirigida a redes empresariales que están bajo entorno Linux; su tamaño es de 2,18 MB y está dotado con un binario ELF (formato de archivo estándar común para archivos ejecutables, código objeto, bibliotecas compartidas y volcados de núcleo) con arquitectura de 64 bits que es compilado con GCC (conjunto de compiladores creados por el proyecto GNU) para que sea compatible con entornos AMD64.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-variante-del-ransomware-icefire-dirigida-a-linuxhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
La primeras actividades de IceFire se observaron a finales de 2022, sin embargo, recientemente, investigadores de seguridad identificaron una nueva variante dirigida a redes empresariales que están bajo entorno Linux; su tamaño es de 2,18 MB y está dotado con un binario ELF (formato de archivo estándar común para archivos ejecutables, código objeto, bibliotecas compartidas y volcados de núcleo) con arquitectura de 64 bits que es compilado con GCC (conjunto de compiladores creados por el proyecto GNU) para que sea compatible con entornos AMD64.
Se identifican nuevos indicadores del troyano bancario MekotioA través de un monitoreo a fuentes abiertas de ciberseguridad fueron identificadas nuevas campañas del troyano bancario Mekotio donde se observaron nuevos indicadores de compromiso que los ciberdelincuentes siguen distribuyendo con el objetivo de generar alguna afectación en los pilares de la seguridad de la información de su entidad.http://csirtasobancaria.com/Plone/alertas-de-seguridad/se-identifican-nuevos-indicadores-del-troyano-bancario-mekotiohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
A través de un monitoreo a fuentes abiertas de ciberseguridad fueron identificadas nuevas campañas del troyano bancario Mekotio donde se observaron nuevos indicadores de compromiso que los ciberdelincuentes siguen distribuyendo con el objetivo de generar alguna afectación en los pilares de la seguridad de la información de su entidad.
Actualización del troyano bancario FakeCallsActualmente, se ha identificado una campaña en la cual suplantan a organizaciones financieras a través de llamadas telefónicas, que tienen el objetivo de engañar a los usuarios para que estos suministren información bancaria como el número de tarjetas de crédito.http://csirtasobancaria.com/Plone/alertas-de-seguridad/actualizacion-del-troyano-bancario-fakecallshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Actualmente, se ha identificado una campaña en la cual suplantan a organizaciones financieras a través de llamadas telefónicas, que tienen el objetivo de engañar a los usuarios para que estos suministren información bancaria como el número de tarjetas de crédito.
-06.png "CSIRT - Financiero - ASOBANCARIA"){kind=logo}