Alertas de seguridad

Bat

Notificación de nuevas amenazas detectadas a nivel global, bien sea por entidades independientes, fabricantes, gremios, o investigación propia CSIRT.

Nuevo malware puede exfiltrar datos de sistemas Air-Gapped manipulando la fuente de poder.

En el constante monitoreo que realiza el Csirt Financiero se observó un nuevo malware denominado POWER-SUPPLaY con la capacidad de exfiltrar información confidencial de equipos en sistemas Air-Gapped, manipulando la frecuencia de conmutación interna de una fuente de alimentación para reproducir sonidos y usarlo como un altavoz secundario.

Nuevo malware realiza ataques sigilosos por medio de WSL

En busca de nuevas amenazas, vulnerabilidades o brechas de seguridad que afecten la infraestructura tecnológica, la confianza, integridad y confidencialidad de los asociados, el equipo del Csirt Financiero ha observado nuevas variantes malware de Linux creados para el Subsistema de Windows para Linux (WSL), lo que indica que los ciberdelincuentes están probando nuevos métodos para comprometer las máquinas con S.O Windows con nuevos métodos de ataque y están centrando su atención en WSL para evadir la detección.

Nuevo malware sigiloso denominado CollectionRAT

Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, se identificó un nuevo troyano de acceso remoto llamado CollectionRAT que está siendo utilizado por el grupo Lazarus.

Campaña de Spam distribuyendo malware

Desde del CSIRT Financiero se detecta una campaña de Spam la cual distribuye el troyano Kryptik tipo RAT (Troyano con capacidades de instalar herramientas de acceso remoto en el sistema infectado, realizando estas actividades sin ser detectado, logrando ejecutar malware adicional o componentes maliciosos) a través de un documento de Microsoft Word.

Nuevo malware vizom apunta a clientes bancarios brasileños

En el monitoreo realizado por el Csirt Financiero, se ha evidenciado la existencia de un nuevo malware denominado Vizom dirigido a clientes de bancos brasileños, tiene funcionalidades que le permiten realizar la superposición de pantalla, acceso remoto y tomar el control del equipo infectado por parte del ciberdelincuente que puede utilizar las credenciales del usuario en transacciones bancarias fraudulentas.

Nuevo mecanismo de distribución de AsyncRAT y Skuld Stealer

El equipo del Csirt Financiero observó una reciente campaña que aprovecha una vulnerabilidad en el sistema de invitaciones de Discord para distribuir dos tipos de amenazas; el stealer Skuld y el troyano de acceso remoto AsyncRAT.

Nuevo método de distribución de HellCat y Morpheus Ransomware

El equipo del CSIRT Financiero ha identificado un nuevo método de distribución de los ransomware HellCat y Morpheus, ambos tipos de RaaS (Ransomware-as-a-Service).

Nuevo método de distribución de malware con backdoor Powershell

Durante las labores de monitoreo continuo, el Csirt Financiero ha identificado una campaña maliciosa que combina phishing dirigido a través de Microsoft Teams con una técnica de persistencia basada en el secuestro de TypeLib, para la distribución de un backdoor malicioso.

Nuevo método de distribución de Quasar RAT

El equipo de analistas del Csirt Financiero ha identificado un nuevo método de distribución del troyano de acceso remoto (RAT) Quasar RAT. Este malware utiliza un paquete malicioso alojado en el repositorio npm, ampliamente usado en el desarrollo con Node.js, para comprometer equipos y ejecutar diversas actividades maliciosas.

Nuevo método de distribución de Raccoon Stealer y XMRig miner

Los actores de amenazas han estado utilizando técnicas de distribución de malware a través de software no licenciado desde los primeros días de la piratería. Sin embargo, recientemente se ha observado una tendencia en la cual los atacantes están dirigiendo sus esfuerzos hacia los canales de YouTube pirateados para difundir malware mediante tutoriales en video. Estos videos se presentan como instrucciones para convencer a los usuarios de desactivar sus herramientas de seguridad y ejecutar el malware, el cual viene en un archivo comprimido de pequeño tamaño.

Nuevo método de ejecución de RemcosRAT

Mediante el monitoreo realizado por el equipo de analistas del Csirt Financiero en busca de nuevas amenazas o campañas maliciosas que pueden afectar la infraestructura de los asociados, identificó un nuevo método de ejecución del troyano de acceso remoto RemcosRAT.

Nuevo método de infección del ransomware BlackByte

Entre las nuevas actualizaciones y novedades de las amenazas reportadas anteriormente por el Csirt Financiero se ha identificado una nueva actividad maliciosa relacionada con el ransomware BlackByte, donde se evidenció que esta amenaza se está aprovechando de una vulnerabilidad en un controlador legítimo de Windows para evadir soluciones antimalware.

Nuevo método de infección del troyano bancario Emotet

El equipo del Csirt Financiero a través de fuentes de información abierta, identificó un nuevo método de infección del troyano bancario Emotet, este busca aprovechar redes WiFi vulnerables para expandir su infección sobre los equipos.

Nuevo método utilizado para distribuir a ObliqueRAT

En el monitoreo realizado a fuentes abiertas de información, el Csirt Financiero ha identificado una nueva forma de distribución del troyano de acceso remoto ObliqueRAT que afecta a equipos con sistema operativo Windows. Desde su detección en el año 2020 los ciberdelincuentes han utilizado el envío de mensajes de correo malspam con documentos de ofimática que contiene macros embebidas maliciosas.

Nuevo módulo de Emotet para exfiltrar información de correos electrónicos

El equipo del Csirt Financiero ha evidenciado a través del monitoreo de fuentes abiertas, la inclusión de un nuevo módulo en Emotet para capturar y exfiltrar documentos adjuntos y contactos de asociados a las cuentas de correo electrónico.

Nuevo módulo de Trickbot conocido como BazarLoader

El equipo del Csirt Financiero ha identificado un nuevo módulo de Trickbot denominado BazarLoader; encargado de inyectar código malicioso a través de API a procesos legítimos del sistema operativo como svchost.exe, adicionando persistencia en su ataque. Esta amenaza puede afectar usuarios del sector financiero ya que TrickBot es un troyano especializado en la exfiltración de credenciales bancarias de los navegadores o cualquier tipo de información sensible en los equipos comprometidos.

Nuevo Phishing-as-a-Service denominado EvilProxy

Recientemente, investigadores identificaron un nuevo phishing como servicio (Phishing-as-a-Service o PhaaS por sus siglas) denominado EvilProxy o Moloch, el cual fue anunciado en foros clandestinos de la Dark web. Esta amenaza permite a los ciberdelincuentes comprometer a usuarios con MFA (Autenticación de múltiples factores) permitido a mayor escala sin la necesidad de infectar servicios anteriores.

Nuevo ransomware como servicio Cicada3301

Nuevo grupo de ransomware como servicio (RaaS) denominado Cicada3301 emplea tácticas de doble extorsión: cifra datos y amenaza con filtrar información confidencial para presionar a las víctimas.

Nuevo ransomware conocido como LMAO

LMAO es una nueva familia basada en otra amenaza conocida como Chaos, este es un ransomware que tiene la finalidad de cifrar datos y con esto extorsionar a sus víctimas a través de la exigencia de un rescate a cambio de un beneficio económico para posteriormente entregar una clave de descifrado, todo esto lo hace con base en el tipo de información comprometida.

Nuevo ransomware CyberVolk

El equipo de analistas del Csirt Financiero ha identificado a CyberVolk, un ransomware documentado por primera vez en mayo de 2024 y asociado a campañas ejecutadas por medio de canales en Telegram, empleando proceso de cifrado en doble capa.