Sitios de Wordpress vulnerados para distribuir RATEl Csirt financiero ha identificado una modalidad en que los ciberdelincuentes comprometen sitios web desarrollados en el gestor de contenidos Wordpress para distribuir software malicioso RAT en equipos con sistema operativo Windows.http://csirtasobancaria.com/Plone/alertas-de-seguridad/sitios-de-wordpress-vulnerados-para-distribuir-rathttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El Csirt financiero ha identificado una modalidad en que los ciberdelincuentes comprometen sitios web desarrollados en el gestor de contenidos Wordpress para distribuir software malicioso RAT en equipos con sistema operativo Windows.
Campaña PerSwaysion; kit de phishing webCampaña denominada PerSwaysion, tiene como objetivo principal pequeñas y medianas entidades de servicios financieros, bufetes de abogados e inmobiliarias, sus víctimas localizadas en Estados Unidos, Canadá, Alemania, Reino unido, Hong Kong y Singapur; el 50.64% de sus esfuerzos de ataque se dirigen principalmente al sector financiero.http://csirtasobancaria.com/Plone/alertas-de-seguridad/campana-perswaysion-kit-de-phishing-webhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Campaña denominada PerSwaysion, tiene como objetivo principal pequeñas y medianas entidades de servicios financieros, bufetes de abogados e inmobiliarias, sus víctimas localizadas en Estados Unidos, Canadá, Alemania, Reino unido, Hong Kong y Singapur; el 50.64% de sus esfuerzos de ataque se dirigen principalmente al sector financiero.
Troyano bancario Grandoreiro apunta a usuarios de países latinoamericanosEl equipo del Csirt Financiero ha realizado un análisis al troyano bancario Grandoreiro, este troyano ha atacado a usuarios de entidades financieras en países como Brasil (de donde es originario), Perú, México y España, entre otros y muestra un esfuerzo inusual de sus autores para evadir la detección y la emulación, buscando así progresar hacia una arquitectura modular.http://csirtasobancaria.com/Plone/alertas-de-seguridad/troyano-bancario-grandoreiro-apunta-a-usuarios-de-paises-latinoamericanoshttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha realizado un análisis al troyano bancario Grandoreiro, este troyano ha atacado a usuarios de entidades financieras en países como Brasil (de donde es originario), Perú, México y España, entre otros y muestra un esfuerzo inusual de sus autores para evadir la detección y la emulación, buscando así progresar hacia una arquitectura modular.
Servidores MDM vulnerados para instalar malware bancario en dispositivos AndroidInvestigadores han detectado que ciberdelincuentes han vulnerado servidores MDM (Mobile Device Manager) de diferentes compañías y así han logrado instalar el malware bancario conocido como Cerberus en el 75% de los dispositivos móviles administrados, el malware bancario tiene la capacidad de recolectar toda la información sensible del dispositivo infectado.http://csirtasobancaria.com/Plone/alertas-de-seguridad/servidores-mdm-vulnerados-para-instalar-malware-bancario-en-dispositivos-androidhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Investigadores han detectado que ciberdelincuentes han vulnerado servidores MDM (Mobile Device Manager) de diferentes compañías y así han logrado instalar el malware bancario conocido como Cerberus en el 75% de los dispositivos móviles administrados, el malware bancario tiene la capacidad de recolectar toda la información sensible del dispositivo infectado.
Nuevos indicadores de compromiso asociados a QakBot.El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso asociados a QakBot, el cual se distribuye a través de campañas de malspam con documentos de tipo Microsoft Word con macros maliciosas embebidas para infectar equipos evadiendo su detección.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-qakbothttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso asociados a QakBot, el cual se distribuye a través de campañas de malspam con documentos de tipo Microsoft Word con macros maliciosas embebidas para infectar equipos evadiendo su detección.
Nuevo ransomware Vcrypt, bloquea archivos utilizando 7ZipEl equipo del Csirt Financiero ha identificado un nuevo ransomware denominado Vcrypt, este malware utiliza el programa 7Zip para comprimir la información del equipo protegido mediante contraseña y luego eliminar el contenido de las carpetas originales, dejando solo las carpetas comprimidas.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-ransomware-vcrypt-bloquea-archivos-utilizando-7ziphttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado un nuevo ransomware denominado Vcrypt, este malware utiliza el programa 7Zip para comprimir la información del equipo protegido mediante contraseña y luego eliminar el contenido de las carpetas originales, dejando solo las carpetas comprimidas.
Maze Team utiliza nuevas formas de extorsión orientada a la afectación reputacionalEn el monitoreo que realiza el equipo del Csirt Financiero ha identificado que el grupo Maze Team, ciberdelincuentes gestores del ransomware Maze, están implementando las bases de una nueva forma de extorsión a través de la afectación reputacional. Entre los meses de marzo y mayo del 2020 el grupo trató de extorsionar al Banco de Costa Rica, generando una importante afectación reputacional comunicando que había hurtado 11 millones de tarjetas de crédito de los clientes de la entidad.http://csirtasobancaria.com/Plone/alertas-de-seguridad/maze-team-utiliza-nuevas-formas-de-extorsion-orientada-a-la-afectacion-reputacionalhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el monitoreo que realiza el equipo del Csirt Financiero ha identificado que el grupo Maze Team, ciberdelincuentes gestores del ransomware Maze, están implementando las bases de una nueva forma de extorsión a través de la afectación reputacional. Entre los meses de marzo y mayo del 2020 el grupo trató de extorsionar al Banco de Costa Rica, generando una importante afectación reputacional comunicando que había hurtado 11 millones de tarjetas de crédito de los clientes de la entidad.
Vulnerabilidad en IBM Java SDK afectan a Rational Service TesterEl equipo del Csirt Financiero ha identificado vulnerabilidad en IBM SDK Java Technology Edition, Versión 1.8 y IBM Runtime Environment Java Versión 1.8, utilizadas por Rational Service Tester, una herramienta de IBM para realizar servicios de prueba y comprobar la calidad de las aplicaciones con arquitectura orientada a servicios tanto en plataforma Windows como en Linux.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidad-en-ibm-java-sdk-afectan-a-rational-service-testerhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado vulnerabilidad en IBM SDK Java Technology Edition, Versión 1.8 y IBM Runtime Environment Java Versión 1.8, utilizadas por Rational Service Tester, una herramienta de IBM para realizar servicios de prueba y comprobar la calidad de las aplicaciones con arquitectura orientada a servicios tanto en plataforma Windows como en Linux.
Servicios expuestos en ColombiaEl Csirt Financiero se encuentra realizando el monitoreo de las diferentes fuentes de información públicas relacionadas con las infraestructuras que se localizan en la región, evidenciando el alto crecimiento del teletrabajo.http://csirtasobancaria.com/Plone/alertas-de-seguridad/servicios-expuestos-en-colombia-3http://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El Csirt Financiero se encuentra realizando el monitoreo de las diferentes fuentes de información públicas relacionadas con las infraestructuras que se localizan en la región, evidenciando el alto crecimiento del teletrabajo.
Vulnerabilidades de seguridad en controladores Citrix ShareFileDentro de la constante labor investigativa que realiza el equipo del Csirt Financiero se identificaron correcciones de software emitidas por Citrix para mitigar las vulnerabilidades que afectan servicios brindados a través de sus productoshttp://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-de-seguridad-en-controladores-citrix-sharefilehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Dentro de la constante labor investigativa que realiza el equipo del Csirt Financiero se identificaron correcciones de software emitidas por Citrix para mitigar las vulnerabilidades que afectan servicios brindados a través de sus productos
Nueva campaña de distribución de RemcosRATReporte de un mensaje de correo electrónico, aparentemente originado por la Fundación Cielo Azul Bogotá, con el asunto “INFORMACION FUNDACION” que a través del enlace realiza la descarga de RemcosRAT.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-campana-de-distribucion-de-remcosrathttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Reporte de un mensaje de correo electrónico, aparentemente originado por la Fundación Cielo Azul Bogotá, con el asunto “INFORMACION FUNDACION” que a través del enlace realiza la descarga de RemcosRAT.
Nefilim / Nephilim Ransomware, sucesor de Nemty ransomwareEl equipo del Csirt Financiero ha identificado una nueva variante de Nemty Ransomware denominado Nefilim o Nephilim Ransomware, la cual tiene por objetivo cifrar la información confidencial y exfiltrarla para extorsionar a las empresas vulneradas. En la última campaña realizada se enfocó en empresas privadas como refinerías petroleras, de ingeniería y de construcción.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nefilim-nephilim-ransomware-sucesor-de-nemty-ransomwarehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado una nueva variante de Nemty Ransomware denominado Nefilim o Nephilim Ransomware, la cual tiene por objetivo cifrar la información confidencial y exfiltrarla para extorsionar a las empresas vulneradas. En la última campaña realizada se enfocó en empresas privadas como refinerías petroleras, de ingeniería y de construcción.
Malware Evilnum con modificaciones para atacar al sector financieroEl equipo del Csirt Financiero ha identificado una campaña de ataques a empleados y usuarios de entidades financieras extranjeras con una versión mejorada del malware Evilnum, el cual tiene la capacidad de cargar y descargar archivos, recolectar cookies de seguimiento y ejecutar comandos arbitrarios en el equipo comprometido.http://csirtasobancaria.com/Plone/alertas-de-seguridad/malware-evilnum-con-modificaciones-para-atacar-al-sector-financierohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado una campaña de ataques a empleados y usuarios de entidades financieras extranjeras con una versión mejorada del malware Evilnum, el cual tiene la capacidad de cargar y descargar archivos, recolectar cookies de seguimiento y ejecutar comandos arbitrarios en el equipo comprometido.
Vulnerabilidades de seguridad de SaltStack Salt en VMware vRealize Operations ManagerSe han evidenciado dos vulnerabilidades importantes de seguridad en SaltStack Salt de VMware vRealize Operations Manager, las cuales permiten el acceso sin autenticación de un agente remoto y recorrer el directorio de forma arbitraria.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-de-seguridad-de-saltstack-salt-en-vmware-vrealize-operations-managerhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Se han evidenciado dos vulnerabilidades importantes de seguridad en SaltStack Salt de VMware vRealize Operations Manager, las cuales permiten el acceso sin autenticación de un agente remoto y recorrer el directorio de forma arbitraria.
Vulnerabilidades críticas en Oracle iPlanet Web Server 7.0.El equipo del Csirt Financiero ha identificado múltiples problemas de seguridad en servidores web iPlanet Web Server 7,0 los cuales ya no cuentan con soporte y actualmente hay 20 servidores en Colombia que ejecutan la versión afectada. Estas vulnerabilidades permiten la exposición de datos confidenciales y la inyección de imágenes para modificar los dominios web.http://csirtasobancaria.com/Plone/alertas-de-seguridad/vulnerabilidades-criticas-en-oracle-iplanet-web-server-7-0http://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado múltiples problemas de seguridad en servidores web iPlanet Web Server 7,0 los cuales ya no cuentan con soporte y actualmente hay 20 servidores en Colombia que ejecutan la versión afectada. Estas vulnerabilidades permiten la exposición de datos confidenciales y la inyección de imágenes para modificar los dominios web.
Nuevo malware puede exfiltrar datos de sistemas Air-Gapped manipulando la fuente de poder.En el constante monitoreo que realiza el Csirt Financiero se observó un nuevo malware denominado POWER-SUPPLaY con la capacidad de exfiltrar información confidencial de equipos en sistemas Air-Gapped, manipulando la frecuencia de conmutación interna de una fuente de alimentación para reproducir sonidos y usarlo como un altavoz secundario.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevo-malware-puede-exfiltrar-datos-de-sistemas-air-gapped-manipulando-la-fuente-de-poderhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
En el constante monitoreo que realiza el Csirt Financiero se observó un nuevo malware denominado POWER-SUPPLaY con la capacidad de exfiltrar información confidencial de equipos en sistemas Air-Gapped, manipulando la frecuencia de conmutación interna de una fuente de alimentación para reproducir sonidos y usarlo como un altavoz secundario.
Nueva variante de un troyano bancario de origen brasileñoDesde el Csirt Financiero se ha detectado una nueva campaña dirigida a usuarios localizados en Portugal. Dicha campaña está distribuyendo una nueva variante de un troyano bancario de origen brasileño, el cual tiene como objetivo la superposición de ventanas en el navegador del usuario para la exfiltración de las credenciales bancarias.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nueva-variante-de-un-troyano-bancario-de-origen-brasilenohttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se ha detectado una nueva campaña dirigida a usuarios localizados en Portugal. Dicha campaña está distribuyendo una nueva variante de un troyano bancario de origen brasileño, el cual tiene como objetivo la superposición de ventanas en el navegador del usuario para la exfiltración de las credenciales bancarias.
Indicadores de compromiso relacionados al grupo APT Silence.El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con campañas de ataques perpetrados por el grupo cibercriminal Silence, el cual tiene como objetivo suplantar entidades financieras en mensajes de correo electrónico haciendo que los empleados de dichas entidades descarguen archivos adjuntos maliciosos y exfiltrar información financiera confidencial.http://csirtasobancaria.com/Plone/alertas-de-seguridad/indicadores-de-compromiso-relacionados-al-grupo-apt-silencehttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con campañas de ataques perpetrados por el grupo cibercriminal Silence, el cual tiene como objetivo suplantar entidades financieras en mensajes de correo electrónico haciendo que los empleados de dichas entidades descarguen archivos adjuntos maliciosos y exfiltrar información financiera confidencial.
Actualización del ransomware SodinokibiInvestigadores han detectado una nueva actualización del ransomware Sodinokibi, consistente en el uso de la API llamada ‘Windows Restart Manager’, con el fin de cerrar o apagar los procesos de los servicios que tienen abiertos o bloqueados los archivos y así poder cifrar una mayor cantidad de archivos.http://csirtasobancaria.com/Plone/alertas-de-seguridad/actualizacion-del-ransomware-sodinokibihttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Investigadores han detectado una nueva actualización del ransomware Sodinokibi, consistente en el uso de la API llamada ‘Windows Restart Manager’, con el fin de cerrar o apagar los procesos de los servicios que tienen abiertos o bloqueados los archivos y así poder cifrar una mayor cantidad de archivos.
Nuevos indicadores de compromiso asociados a DridexDesde el Csirt Financiero se han identificado nuevos indicadores de compromiso asociados a una nueva campaña de malspam mediante la cual se distribuye al troyano Dridex, también conocido como Cridex, diseñado para capturar información financiera e introducir al equipo infectado en una botnet.http://csirtasobancaria.com/Plone/alertas-de-seguridad/nuevos-indicadores-de-compromiso-asociados-a-dridexhttp://csirtasobancaria.com/Plone/@@site-logo/CSIRT Editable (2-)-06.png
Desde el Csirt Financiero se han identificado nuevos indicadores de compromiso asociados a una nueva campaña de malspam mediante la cual se distribuye al troyano Dridex, también conocido como Cridex, diseñado para capturar información financiera e introducir al equipo infectado en una botnet.