Alertas de seguridad

Bat

Nuevos indicadores de compromiso asociados a Azorult

El Csirt Financiero en su constante monitoreo de amenazas que podrían afectar al sector, ha identificado actividad y nuevas capacidades de Azorult para exfiltrar información sensible de equipos infectados, además de realizar la descarga y ejecución de diferentes cargas útiles de malware catalogado.

Vulnerabilidades descubiertas en las SSL VPN de Fortinet y Pulse Secure

Desde el CSIRT Financiero, se ha identificado un inusual comportamiento de escaneos de dispositivos que tienen implementados servicios SSL VPN de los fabricantes Fortinet y Pulse Secure con el objetivo de explotar vulnerabilidades no parcheadas. El equipo de CSIRT Financiero considera de interés la notificación debido a la magnitud de entidades financieras que hacen uso de este tipo de tecnología.

Campaña de phishing distribuye Troyano de acceso remoto Quasar

CSIRT Financiero en la búsqueda de posibles amenazas a identificado una nueva campaña de phishing relacionada con Quasar RAT, el cual se está distribuyendo a través de correo electrónico con el asunto “curriculum” y se hace pasar por un buscador de trabajo en el que adjunta un archivo Word protegido con una contraseña básica “123” con el fin de engañar personas y robar datos.

Actividad de nuevos indicadores de compromiso asociados al grupo TA505.

Se han identificado posibles amenazas relacionadas al grupo TA505, mediante análisis de amenazas el CSIRT Financiero ha verificado una nueva actividad reciente y que estos indicadores de amenaza podrían afectar entidades de la región ya que estos indicadores podrían abrir brechas de seguridad y comprometer o exponer la integridad, confidencialidad o disponibilidad de la información.

Nuevos indicadores de compromiso relacionados con el malware Adwind RAT.

Desde el CSIRT Financiero se han encontrado nuevos indicadores de compromiso relacionados con el malware llamado Adwind, este malware está siendo distribuido en campañas de malspam contra usuarios del sector con el fin de robar sus datos.

Nuevas campañas atribuidas a grupo TA505

El grupo APT TA505 previamente analizado por el equipo de Cyber Threat Intelligence del CSIRT Financiero el cual se identifican ocho nuevas campañas en las que se han creado nuevas variantes de sus herramientas, una nueva versión ServHelper y una DLL del descargador FlawedAmmyy.

Campaña mundial contra entidades gubernamentales y financieras con los RAT Orcus y Revenge.

Detectadas campañas de distribución de malware, en el que se envían correos a las víctimas para qué descarguen herramientas de acceso remoto con el fin de que se instalen en el equipo víctima y así tomar el control de manera remota para obtener información como datos sensibles y obtener beneficios.

Campaña de phishing apodada "Heatstroke”, que busca capturar credenciales de usuarios en internet.

Campaña de correo malicioso llamada golpe de calor “Heatstroke” que combina diferentes técnicas para engañar a usuarios de internet con el fin de robar información de sus credenciales y posiblemente para ser aprovechadas en actividades fraudulentas.

Nuevo RAT BRATA dirigido a Android

Malware de tipo RAT que se ha propagado en la región brasilera, el cual está dirigido a dispositivos Android con fines de extracción de información y control remoto.

Nueva campaña del malware Qakbot

Investigadores especializados han generado una nueva advertencia respecto al malware Qakbot. Este tiene la capacidad de propagarse como un gusano, infectando a los usuarios y realizando las funciones de un troyano. Se considera que el malware es distribuido por un grupo organizado de cibercrimen, sin embargo, no se ha logrado atribuir este hecho a ningún grupo.

Nueva Campaña de Malspam que distribuye troyano Ursnif/Gozi.

Se ha identificado campaña de propagación de correos con anuncios engañosos, con la finalidad de que el usuario haga clic en un documento de office con macros o url de descarga de malware. Una vez instalado el malware es aprovechado por ciberdelincuentes para el robo de datos y credenciales personales de los usuarios.

Ransomware Lilocked (Lilu) infecta servidores linux

Nuevo Ransomware llamado Lilocked (Lilu), que entro en actividad desde el mes de julio de 2019 y que afecta servidores Linux enfocado en archivos con extensión HTML, PHP, JS e imágenes con cualquier tipo de extensión, este Ransomware cifra solo archivos almacenados que no tienen que ver con el sistema operativo de la máquina.

Malware Joker, nueva infección de Spyware dirigida a dispositivos Android

Nuevo malware llamado Joker y categorizado como spyware, que se había filtrado a la tienda oficial de Google Play, alojado en 24 aplicaciones y que tiene como objetivo el robo de mensajes SMS, información de contacto y datos del dispositivo. Joker va más allá al intentar generar ganancias para su operador a través de actividad publicitaria fraudulenta.

Nuevos indicadores de compromiso asociados al grupo APT TA505

Se ha observado una nueva actividad del grupo APT TA505 que involucra campañas dirigidas a diferentes países durante las últimas semanas, en la que se identifican nuevos indicadores de compromiso que son utilizados para infección de malware a usuarios, robo de información y control remoto de máquinas.

Análisis técnico malware Quasar RAT

El CSIRT Financiero por medio de sus fuentes de información identificó un malware que se ha distribuido a través de phishing y maneja herramientas de acceso remoto legitimas de código abierto, las cuales son modificadas para realizar acciones criminales. Al ser herramientas aparentemente legítimas les permite evadir los controles de seguridad y así poder capturar información confidencial de los usuarios.

Se identifican amenazas que podrían afectar usuarios de la plataforma SWIFT

El CSIRT Financiero ha identificado una nueva actividad de Malware dirigido a los usuarios de la plataforma SWIFT. Esta nueva actividad se distribuye por medio de spam y busca afectar de manera directa a los usuarios de la plataforma, una vez el equipo es infectado, automáticamente busca establecer conexiones con dominios maliciosos que contienen variedad de troyanos.

Nuevas tácticas del grupo APT FIN6

En el análisis de amenazas del CSIRT Financiero se ha logrado identificar una campaña reciente del grupo de APT FIN6, quién ha cambiado sus tácticas y se ha orientado a la infección de sitios web de comercio electrónico.

Nuevas amenazas relacionadas con Ransomware Ryuk

Se identificaron nuevos indicadores de amenazas relacionados con el Ransomware Ryuk, se tiene conocimiento de que este malware se distribuía como una infección primaria a través de archivos adjuntos de correo electrónico malicioso y conexiones de RDP insuficientemente protegidas, en el segundo trimestre de 2019 afectó empresas y organizaciones a nivel mundial.

Se descubre nueva actividad de Malware Trickbot

Se ha identificado una nueva campaña de correos electrónicos distribuyendo Trickbot, dentro de los correos enviados, además de la información con la que intentan engañar al usuario, adjuntan un archivo por lo general de office. Si el usuario llega a descargar el archivo y abrirlo en su máquina, será infectado a través de macros y/o código JavaScript. Esta campaña fue creada con el fin de capturar los datos personales de los usuarios afectados.

Nuevas campañas de Malware Emotet

Se han identificado nuevas campañas de spam distribuyendo malware Emotet. Este malware ha puesto su mira tanto en objetivos particulares como en empresas y entidades gubernamentales, todos ellos provenientes de diferentes países como Alemania, Reino Unido, Polonia, Italia y EE. UU.