Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Nueva actividad maliciosa del troyano bancario Ursnif

Ursnif es un troyano bancario muy utilizado por los ciberdelincuentes, dirigido al sector financiero con el objetivo de capturar información y credenciales bancarias principalmente de los sistemas operativos Windows, aunque el equipo de analistas del Csirt financiero ha reportado esta amenaza en múltiples ocasiones, es relevante comunicar que se identificaron nuevos indicadores de compromiso (IOC), los cuales representan nuevas cargas útiles que están siendo distribuidas y pueden afectar entidades de América Latina.

Prynt Stealer implementa puertas traseras adicionales

El activo más importante para una organización hoy en día es su información, partiendo de esa perspectiva los ciberdelincuentes tienen como principal objetivo capturar esos registros que representan una potencial recompensa económica; en la naturaleza circulan varias ciberamenazas asociadas a diversas familias de stealer entre ellos el ya conocido Prynt Stealer, respecto a este se ha descubierto que sus desarrolladores implantan puertas traseras (backdoors) en sus constructores, esto con el propósito de exfiltrar una copia de la data capturada de las víctimas obtenida en campañas desplegadas previamente empleando esta familia de malware a través de un canal de Telegram.

Repositorio abierto permite que ciberdelincuentes adquieran una nueva versión del kit de herramientas conocido como Burntcigar

Recientemente se ha conocido un repositorio abierto que permite descargar un kit de herramientas que tiene la capacidad de deshabilitar las soluciones de seguridad en las infraestructuras tecnológicas, este conjunto de archivos es conocidos como Burntcigar, muy popular por facilitar la entrada de los atacantes al sistema de los equipos.

Nuevas capacidades identificadas en Bumblebee

Bumblebee es un backdoor que desde su creación ha adquirido mucha popularidad entre los ciberdelincuentes debido a sus amplias capacidades, en esta nueva variante presenta alta similitud con BookWorm.

Nueva actividad maliciosa asociada al troyano bancario Sharkbot

En el ámbito de ciberseguridad, es muy frecuente presenciar campañas maliciosas en donde los ciberdelincuentes implementan programas maliciosos específicamente desarrollados para impactar un sector objetivo; un ejemplo claro de esto, son los troyanos bancarios, los cuales tienen como propósito recopilar información sensible de las victimas relacionadas con entidades financieras.

Código fuente del troyano acceso remoto CodeRAT expuesto en repositorios de GitHub

CodeRAT, es un troyano de acceso remoto (RAT) el cual está siendo utilizado por los ciberdelincuentes gracias a las grandes capacidades que ofrece esta amenaza; en esta ocasión se identificó que el código fuente de CodeRAT fue filtrado y expuesto en un repositorio de GitHub el cual permite que más ciberdelincuentes puedan adquirirlo permitiendo ejecutar el RAT ofreciendo al usuario remoto una amplia gama capacidades posteriores a la infección.

Nuevo Phishing-as-a-Service denominado EvilProxy

Recientemente, investigadores identificaron un nuevo phishing como servicio (Phishing-as-a-Service o PhaaS por sus siglas) denominado EvilProxy o Moloch, el cual fue anunciado en foros clandestinos de la Dark web. Esta amenaza permite a los ciberdelincuentes comprometer a usuarios con MFA (Autenticación de múltiples factores) permitido a mayor escala sin la necesidad de infectar servicios anteriores.

Nuevo skimmer de JavaScript empleado por el grupo de ciberdelincuentes Magecart

Recientemente se observó en la naturaleza un nuevo skimmer de JavaScript creado por el grupo de cibercriminales conocido como Magecart, quienes se dedican a vulnerar la seguridad de los sistemas de compras en línea con nuevos métodos y técnicas para capturar información sensible relacionado con datos financieros de las víctimas dentro de sitios web que empleen la plataforma Magento.

Panel de control denominado TeslaGun es utilizado por el grupo TA505

El grupo TA505 se encuentra activo desde 2014, desde entonces se ha enfocado en sectores minoristas y principalmente el financiero. En la mayoría de sus actividades maliciosas emplean un backdoor (puerta trasera) llamado ServHelper, el cual han estado actualizando con nuevas funcionalidades desde 2019, no obstante, recientemente se detectó que están usando un panel de control denominado TeslaGun para administrar la puerta trasera, que actúa como servidor de comando y control.

Nuevo troyano de acceso remoto denominado Venom RAT

Se identificó una familia denominada Venom RAT, como un Malware as a Service (MaaS, por sus siglas en inglés), es una herramienta que puede ser adquirida de forma legítima y por esta razón los ciberdelincuentes comenzaron a obtener dicho RAT con fines delictivos.

Nuevo Framework denominado Bruteratel

Bruteratel es un framework que permite a los actores de amenaza simular un ciberataque contra una organización con el objetivo que los ciberdelincuentes puedan encontrar brechas de seguridad donde identifican vulnerabilidades para poder desencadenar un proceso de infección.

El troyano bancario Ares resurge con nuevas TTP

Aunque el troyano bancario Ares no es una nueva amenaza en el ciberespacio, ha resurgido con nuevas técnicas, tácticas y procedimientos compiladas en su segunda versión lanzada a mediados del mes de agosto; su aparición en el panorama de amenazas radica de febrero de 2021 desde entonces los ciberdelincuentes lo han empleado para apuntar al sector financiero, asimismo se ha rastreado que esta nueva versión está siendo desplegada en México hacia entidades financieras.

Nuevo troyano de acceso remoto denominado Magic Rat

Dentro de las amenazas más utilizadas por los ciberdelincuentes en los últimos meses, se observó que los troyanos de acceso remoto (RAT) son los más comunes e implementadas por los cibercriminales gracias a las capacidades que pueden llegar a otorgar, permitiendo la obtención de datos confidenciales de entidades y organizaciones; en esta ocasión el equipo de analistas del Csirt Financiero identificó un nuevo troyano de acceso remoto denominado Magic RAT, el cual es atribuido al grupo APT 38 más conocido como Lazarus.

Aparece en la naturaleza un nuevo RAT dirigido al kernel Linux denominado Shikitega

El creciente número de amenazas que se ven en la naturaleza sigue siendo una constante durante los últimos meses, en este sentido se ha descubierto una nueva familia de malware denominada Shikitega la cual ha sido categorizada como un troyano de acceso remoto; esta amenaza se dirige a equipos y dispositivos que ejecutan sistemas Linux, entre estos están incluidos los que hacen parte de la categoría IoT, a su vez su operación se divide en varias etapas que ejecutan distintas cargas útiles, explotan algunas vulnerabilidades, implantan un minero y usan Mettle.

Nueva actividad maliciosa del grupo cibercriminal conocido como Worok

En el ámbito de la ciberseguridad se han identificado varios grupos cibercriminales los cuales en su mayoría son financiados por gobiernos de muchos países que se suman a los constantes ataques cibernéticos para capturar información confidencial, afectar infraestructuras críticas de entidades y organizaciones a nivel mundial, teniendo en cuenta esto, el equipo de analistas del Csirt Financiero ha identificado nueva actividad maliciosa de un grupo cibercriminal conocido como Worok, el cual dirige sus ataques a sectores financieros, gubernamentales y de telecomunicaciones.

PlugX un RAT Loader que prevalece en el tiempo

El ciberespacio es un ecosistema lleno de amenazas que ponen en riesgo los activos de una organización o de las personas debido a los constantes ataques cibernéticos orquestados por los ciberdelincuentes, dentro de ese flujo de acción suelen emplear herramientas modulares para controlar remotamente los equipos infectados.

Nuevos indicadores vinculados al troyano IcedID

IcedID es un troyano que representa una gran amenaza para la privacidad de los usuarios afectados, así como para la seguridad económica e informática. Tras infiltrarse en la infraestructura tecnológica, este troyano comienza a ejecutar diferentes tareas maliciosas que tienen como objetivo monitorear la actividad generada por la víctima en navegadores web, exfiltrar datos personales y manipular el sistema operativo.

Familias de ransomware implementan nuevo método de cifrado de archivos

Recientemente se ha identificado un nuevo comportamiento atribuido al tipo de malware conocido en el ciberespacio como ransomware, donde los ciberdelincuentes implementan una táctica que le permite generar una mayor afectación al objetivo y en un intervalo de tiempo más corto, este método ha sido denominado cifrado intermitente.

Actualización de artefactos empleados por NetSupport RAT

NetSupport Manager es una herramienta de acceso remoto, el cual está diseñado para que sus usuarios puedan acceder a sus equipos de TI de forma local o remota; es un software legítimo, sin embargo, es muy utilizada por ciberdelincuentes que hacen mal uso de este en sus campañas maliciosas y así sustraer información sensible alojada en la infraestructura tecnológica comprometida.

Nueva campaña de distribución del troyano Lampion

En el ámbito del ciberespacio es frecuente observar las nuevas técnicas y tácticas de distribución utilizadas por los ciberdelincuentes con el objetivo de distribuir amenazas y llegar a impactar a organizaciones y entidades, por lo tanto, a través del monitoreo que realiza el equipo del Csirt Financiero fue identificado el troyano Lampion el cual está siendo distribuido por medio de un servicio legítimo conocido como weTransfer.