Alertas de seguridad

Bat

Indicadores de compromiso asociados a Dacls RAT

Desde el CSIRT Financiero se ha identificado nueva actividad asociada a Lazarus Group, el cual busca afectar a sistemas operativos Windows y Linux, utilizando un troyano de tipo RAT [Herramienta de Administración Remota, por sus siglas en inglés] el cual se identifica por el nombre de Dacls, buscando tomar control de la máquina comprometida.

Nuevos indicadores de compromiso asociados a Emotet

Desde el CSIRT Financiero se ha identificado una campaña de malspam, la cual distribuye el troyano bancario Emotet. Esta campaña tiene en particular, un documento de tipo Microsoft Word con un asunto llamativo alusivo a las festividades navideñas con el fin de engañar a los usuarios.

Nuevos indicadores de compromiso asociados al Ransomware Zeppelin

El CSIRT financiero a través de sus investigaciones identifica a “Zeppelin”, nuevo tipo de Ransomware de tipo RaaS [Ransomware como Servicio, por sus siglas en inglés] que permite a los ciberdelincuentes alquilar sus servicios para atacar de manera dirigida a objetivos en específico. Por este motivo, es importante tener presente estos indicadores de compromiso con el fin de que no se vea afectada la infraestructura de nuestros asociados.

Nuevos indicadores de compromiso asociados al ransomware Ryuk

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados a un ataque realizado al Ayuntamiento de Nueva Orleans por el troyano de tipo ransomware Ryuk.

Variante del Ransomware Snatch afecta el modo seguro de Windows

En investigaciones realizadas por el CSIRT Financiero, se detecta una variante del ransomware Snatch, que consiste en reiniciar equipos Windows en modo seguro, con el objetivo de no ser detectado por los antivirus. Snatch ha generado campañas de ataques dirigidas contra Estados Unidos, Canadá y algunos países europeos en lo corrido del segundo semestre del año en curso, sin descartar que estén comprometidas organizaciones alrededor del mundo.

Botnet Echobot implementa nuevas vulnerabilidades.

Echobot es una reconocida variante de la Botnet Mirai. Sus intereses se centran en el aprovechamiento de vulnerabilidades antiguas como recientes. Actualmente, esta botnet, ha reaparecido en internet con nuevas vulnerabilidades que permiten afectar gran diversidad dispositivos.

Vulnerabilidad en complementos de WordPress

Desde el CSIRT Financiero se han evidenciado dos vulnerabilidades asociadas a los complementos “Elementor y Beaver”, las cuales podrían permitir que un atacante lograra hackear sitios web que se encuentren creados en WordPress.

Indicadores de compromiso relacionados al ransomware LooCipher

LooCipher, trabaja en conjunto con otros tipos de ransomware para realizar ataques dirigidos; su objetivo principal es la de cifrar la información y exigir a los usuarios un pago por la “liberación” de la misma.

ChinaZ, grupo de ciberdelincuentes actualiza su kit de herramientas.

El CSIRT Financiero ha identificado indicadores de compromiso asociados al grupo de ciberdelincuentes ChinaZ, el cual es conocido por realizar ataques a Sistemas Linux y Sistemas Windows mediante Botnets DDoS. Este grupo de ciberdelincuentes utiliza herramientas que pueden afectar infraestructuras de organizaciones.

Vulnerabilidades funcionales en tecnologías de “transacciones sin contacto”

Los pagos o transacciones sin contacto han sido implementados en el año 2007, desde entonces se han venido generando nuevas tecnologías, métodos y estándares para suplir la demanda que se despliega del uso de la tecnología en general, pero transversalmente los ciberdelincuentes transforman sus técnicas con el objetivo de generar ataques en diferentes dispositivos, ámbitos y/o sectores.

Nuevos indicadores de compromiso asociados al infostealer Predator The thief.

Predator The Thief es un malware de tipo infostealer, este tipo de malware se destaca por exfiltrar información confidencial de un usuario, permitiendo a los ciberdelincuentes, obtener credenciales de acceso que estén almacenados en el navegador web, además, tiene la capacidad de acceder y capturar las billeteras de criptomonedas de la máquina infectada.

Lazarus Group utiliza variante del troyano trickbot para infectar usuarios.

El CSIRT Financiero identificó que el grupo cibercriminal Lazarus, conocido también como APT38, se encuentra utilizando una variante del troyano trickbot de nombre “Anchor”, utilizada contra objetivos que generan ganancias económicas, hasta el momento se desconoce el vector de la infección.

Nueva campaña de malspam busca distribuir el troyano bancario Trickbot

El CSIRT Financiero ha identificado nuevos indicadores de compromiso asociados al troyano bancario TrickBot. Este troyano fue descubierto desde el 2016 y el objetivo principal es el de capturar la información en la máquina víctima.

Skimmer inyectado en sitios web falsos

Teniendo en cuenta el incremento comercial en este mes de diciembre; el CSIRT Financiero recomienda extremar las medidas de seguridad al realizar compras por internet, verificando que la url del sitio coincide con la web del sitio visitado y que su dirección empieza por https, de la misma forma revisar de manera periódica los estados de cuenta de las tarjetas de crédito, con el fin de identificar cargos por compras fraudulentas. Teniendo en cuenta lo anteriormente mencionado, el CSIRT Financiero se ha identificado un Skimmer [obtención de información de tarjetas de crédito o débito utilizado en el momento de la transacción, con la finalidad de reproducir o clonar las tarjetas], presente en sitios web de compras, el cual podría comprometer los datos de los usuarios en compras realizadas en línea.

Nuevo malware dirigido a equipos con sistema operativo MacOS.

El CSIRT Financiero ha identificado un nuevo malware con capacidades para realizar espionaje e intrusión de equipos, por sus características y procedimientos se asocia al grupo de amenazas Lazarus Group. Así mismo, este nuevo malware permite la descarga e instalación de otras fuentes de código malicioso, que podrían comprometer la seguridad de los usuarios o entidades del sector financiero.

Nuevos indicadores de compromiso asociados al troyano bancario Dridex.

Dridex es considerado como uno de los troyanos bancarios con mayor índice de infección sobre los usuarios de internet. Durante los últimos años ha sufrido diferentes cambios y variantes sobre su código, permitiendo a los ciberdelincuentes explotar esta clase de funcionalidades para la captura de credenciales bancarias.

Nuevos indicadores de compromiso asociados a BalkanRat.

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados a BalkanRat, un malware de tipo RAT [Remote Access Trojan] que permite a los ciberdelincuentes tomar el control del equipo comprometido mediante línea de comandos para extraer información de tipo financiera y dar paso a otras familias de malware.

Skimmers encontrados en sitio web que ofrecen el servicio de PaaS

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados al grupo de ciberdelincuentes MageCart, los cuales han comprometido varios sitios web alojados bajo el servicio PaaS [Plataforma como Servicio] a través de Skimmers [obtención de información de tarjetas de crédito o débito utilizado en el momento de la transacción, con la finalidad de reproducir o clonar las tarjetas].

Nueva campaña de MalSpam distribuyendo a Emotet

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados al troyano bancario Emotet, el cual tiene como objetivo principal exfiltrar las credenciales financieras de los usuarios afectados por este malware. Emotet se propaga generalmente por medio de MalSpam [Malware distribuido a través de correos Spam], infectando los equipos mediante archivos adjuntos o enlaces maliciosos.

PyXie, una RAT escrita en Python

El CSIRT Financiero ha identificado una RAT (Troyano de acceso remoto), que ha sido escrito en Python llamado por investigadores como “PyXie” y está dirigida al sector industria, se ha visto este malware en conjunto con el malware Cobalt strike y un malware descargador similar al Shifu, en análisis realizados se ha verificado que este intenta realizar entrega de ransomware a usuarios infectados.