Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Múltiples campañas se han visto distribuyendo Batloader

Las amenazas de acceso inicial abundan en la naturaleza, de ahí que los ciberdelincuentes las empleen para tener éxito en sus ataques cibernéticos, por medio de estos loader pueden instaurar cargas útiles de otras familias en los equipos comprometidos.

Campaña maliciosa distribuye Wiki ransomware

Wiki es un software malicioso que es identificado como una variante de otro ransomware identificado como Crysis, diseñado con las capacidades de cifrar archivos y así mismo mantenerlos bloqueados gracias a su método de cifrado utilizado, lo cual afecta de forma directa a la disponibilidad de la información y servicios de las organizaciones comprometidas por esta amenaza, además, en el transcurso de su proceso de cifrado, a cada archivo le cambia el nombre agregándole un número de identificación único, dirección de correo electrónico de los actores de amenaza y la extensión .wiki.

Operadores de Emotet implementan nuevas tácticas en la cadena de infección

Recientemente se había identificado el retorno del troyano polimórfico conocido como Emotet clasificado como un botnet gracias a sus constantes actualizaciones, ya que inicialmente se categorizo como un troyano bancario, sin embargo la implementación de un módulo de botnet spam hizo que evolucionara; desde su aparición en 2014 los atacantes que han distribuido esta amenaza a través de campañas que entregan la carga útil de Emotet, en documentos maliciosos para impactar empresas de distintos sectores económicos.

Nueva actividad maliciosa atribuida a Qbot

Recientemente se ha identificado un nuevo vector de infección del troyano Qbot, donde los actores de amenaza se aprovechan de una falla presentada en el ejecutable del panel de control de Windows 10 (control.exe), esta brecha de seguridad les permite realizar “el secuestro de DLL”, este método es utilizado para suplantar librerías legitimas del sistema por archivos maliciosos creados por los ciberdelincuentes para implementar la carga útil de Qakbot.

LodaRAT implementa diversas variantes de malware

Recientemente, se ha identificado una nueva variante de LodaRAT que también es conocido por otro nombre como Nymeria; en sus nuevas actividades se ha observado que se implementa junto con otros malware conocidos como RedLine Stealer y Neshta. LodaRAT está desarrollado en AutoIT y es capaz de recopilar y exfiltrar la información alojada en las infraestructuras informáticas comprometidas.

Nuevos Ransomware denominados AXLocker, Octocrypt y Alice.

El equipo de analistas del Csirt Financiero realizo un monitoreo en el ciber espacio de nuevas amenazas que puedan llegar a afectar la infraestructura y pilares de la información de nuestros asociados, donde se encontraron tres nuevas familias de Ransomware denominadas AXLocker, Octocrypt y Alice.

Ciberdelincuentes realizan nuevas actividades para la entrega de malware

De forma reciente se ha identificado al grupo DEV-0569 desplegando campañas de malvertising (introducir malware en la publicidad en línea para extender otro malware) para distribuir payload de diferentes familias de malware a través del servicio Google Ads.

Nuevos métodos de distribución de Hive Ransomware

Hive ransomware ha seguido activo en el ciberespacio atacando múltiples organizaciones en todo el mundo, tanto así que los actores detrás de esta amenaza se han beneficiado de más de 100 millones de dólares en los pagos de rescate, esta amenaza lleva activa desde junio del 2021 y sigue el modelo de Ransomware-as-a-Service (RaaS).

Nuevos indicadores de compromiso asociados a NanoCore RAT

Recientemente se han evidenciado nuevos indicadores de compromiso asociados a NanoCore RAT, un troyano de acceso remoto que destaca por sus capacidades de recopilar información confidencial a través de múltiples acciones relacionadas con spyware. Así mismo, se observa que este se distribuye por medio foros clandestinos en la Deep y Dark web, donde es ofrecido a un precio muy bajo; esto permite que muchos grupos de ciberdelincuentes que no poseen conocimiento sobre elaboración de malware puedan adquirir uno e incluirlo en sus campañas maliciosas.

Se identifican nuevos indicadores de compromiso del troyano de acceso remoto DCRAT

El troyano de acceso remoto conocido como DCRat o Dark Crystal RAT, ha sido reportado en ocasiones anteriores por el equipo de analistas del Csirt Financiero y como es común en el ámbito de la ciberseguridad los ciberdelincuentes mantienen constantes actualizaciones de estas amenazas, por lo que se identificaron nuevos indicadores de compromiso relacionados a DCRat en el mes de noviembre.

Nueva actividad maliciosa de Rapperbot

Los ataques de DDoS generalmente son desplegados en diferentes modelos de redes de bots, de las que hacen parte dispositivos IoT comprometidos, con el objetivo de lograr impactar la disponibilidad de las infraestructuras tecnológicas que tengan como objetivo los atacantes, en ese orden de ideas se han identificado una serie de ataques cibernéticos relacionados con la botnet RapperBot.

El nuevo downloader denominado IronRider

La superficie de ataques continúa creciendo conforme se desarrollan nuevas actualizaciones y funcionalidades en sistemas operativos, software y tecnologías emergentes, razón por la que en la naturaleza emergen nuevas amenazas alineadas con esas nuevas capacidades; en ese orden de ideas se ha detectado recientemente una sucesión de ataques desplegados en Europa del Este en los que se empleó el nuevo downloader IronRider.

Nueva actividad del troyano bancario Sharkbot

Recientemente se han evidenciado nuevas actualizaciones dentro de la tienda de aplicaciones conocida como Google Play store, donde se está distribuyendo una amenaza conocida como el troyano bancario denominado Sharkbot el cual ha sido reportado anteriormente por el equipo de analistas del Csirt Financiero donde en esta ocasión se identificaron nuevas aplicaciones para su distribución y con esto se observaron nuevos indicadores de compromiso.

Nueva familia de ransomware denominada Ransomexx2

Dentro del ciberespacio es constante las actualizaciones y diversas variantes de amenazas que los ciberdelincuentes realizan en pro de afectar entidades y organizaciones con el fin de obtener alguna ganancia ya se económica o reputacional, es por eso que a través de fuentes abiertas de información el equipo de analistas del Csirt identifico una variante de ransomware denominada como RansomExx2 el cual principalmente afecta a equipos con sistema operativo Linux y donde posiblemente también se encuentre una versión para Windows.

Nueva campaña de distribución por parte del grupo Black Basta Ransomware

De forma continua se detectan nuevas metodologías empleadas por lo cibercriminales en el ciber espacio; el caso más reciente es el del grupo de ransomware Black Basta, los cuales se encuentran desplegando campañas que tienen el objetivo de entregar Black Basta en los sistemas informáticos comprometidos, además, en la primera etapa de dicha infección usan Qakbot como punto de apoyo permitiéndoles realizar sus actividades maliciosas y entregar en ransomware mencionado anteriormente.

Nuevas actividades de la Botnet Amadey.

El equipo de analistas del Csirt Financiero realiza un monitoreo en el ciberespacio en busca de nuevas amenazas o actividades maliciosas que puedan afectar la infraestructura tecnológica de nuestros asociados, observado una reciente actividad maliciosa realizada por la botnet Amadey, la cual fue vista por primera vez en 2018.

Nuevos indicadores de compromiso del troyano bancario IcedID.

El equipo de analistas del Csirt Financiero en un monitoreo realizado en el ciberespacio, con el objetivo de encontrar nuevas amenazas y artefactos que puedan afectar la infraestructura tecnológica de nuestros asociados se identificaron nuevos indicadores de compromiso (IoC) relacionados al troyano bancario IcedID también conocido como Bokbot el cual fue visto por primera vez en 2017.

Nueva actividad de Emotet es implementada para distribuir ransomware Quantum

Emotet, identificado por primera vez en el año 2014 como un troyano bancario, es una de las amenazas más mencionadas a nivel global, ya que su evolución y capacidades han trascendido rápidamente con el tiempo, convirtiéndolo en una botnet para distribución de cargas útiles de segunda etapa de diversos tipos de malware que tienen el objetivo de afectar la confidencialidad y disponibilidad de entidades y organizaciones.

Nuevos indicadores de compromiso de Qbot de su última campaña en el mes de noviembre

En las últimas semanas del mes de noviembre, el equipo de analistas del Csirt Financiero realizó una actualización de una actividad relacionada con el troyano Qbot donde algunos grupos de ciberdelincuentes estaban aprovechando una falla de seguridad en el panel de control de Windows 10 conocido como control.exe; en esta ocasión se identificaron más indicadores de compromiso relacionados con esta nueva campaña.

Stealer Vidar distribuido en foros de la Dark web para captura de credenciales bancarias

A través de un monitoreo realizado en la Deep y Dark web, se identificó que una amenaza de tipo Stealer conocido como Vidar, ha sido ofertado en varios foros y mercados rusos para la venta y captura de credenciales, donde se observó que los ciberdelincuentes ofrecen esta amenaza ya sea para capturar datos confidenciales de portales de transacciones bancarias o para ofertar datos ya capturados.