Alertas de seguridad

Información de Alertas de Ciberseguridad para el sector Financiero

Para información más detallada del ciclo de la vulnerabilidad por favor revise su suscripción ante el CSIRT.

Alertas de 2019

ChinaZ, grupo de ciberdelincuentes actualiza su kit de herramientas.

Publicado: 13/12/2019 | Importancia: Media

El CSIRT Financiero ha identificado indicadores de compromiso asociados al grupo de ciberdelincuentes ChinaZ, el cual es conocido por realizar ataques a Sistemas Linux y Sistemas Windows mediante Botnets DDoS. Este grupo de ciberdelincuentes utiliza herramientas que pueden afectar infraestructuras de organizaciones.

Vulnerabilidades funcionales en tecnologías de “transacciones sin contacto”

Publicado: 13/12/2019 | Importancia: Media

Los pagos o transacciones sin contacto han sido implementados en el año 2007, desde entonces se han venido generando nuevas tecnologías, métodos y estándares para suplir la demanda que se despliega del uso de la tecnología en general, pero transversalmente los ciberdelincuentes transforman sus técnicas con el objetivo de generar ataques en diferentes dispositivos, ámbitos y/o sectores.

Nuevos indicadores de compromiso asociados al infostealer Predator The thief.

Publicado: 12/12/2019 | Importancia: Media

Predator The Thief es un malware de tipo infostealer, este tipo de malware se destaca por exfiltrar información confidencial de un usuario, permitiendo a los ciberdelincuentes, obtener credenciales de acceso que estén almacenados en el navegador web, además, tiene la capacidad de acceder y capturar las billeteras de criptomonedas de la máquina infectada.

Lazarus Group utiliza variante del troyano trickbot para infectar usuarios.

Publicado: 12/12/2019 | Importancia: Media

El CSIRT Financiero identificó que el grupo cibercriminal Lazarus, conocido también como APT38, se encuentra utilizando una variante del troyano trickbot de nombre “Anchor”, utilizada contra objetivos que generan ganancias económicas, hasta el momento se desconoce el vector de la infección.

Nueva campaña de malspam busca distribuir el troyano bancario Trickbot

Publicado: 12/12/2019 | Importancia: Media

El CSIRT Financiero ha identificado nuevos indicadores de compromiso asociados al troyano bancario TrickBot. Este troyano fue descubierto desde el 2016 y el objetivo principal es el de capturar la información en la máquina víctima.

Skimmer inyectado en sitios web falsos

Publicado: 10/12/2019 | Importancia: Media

Teniendo en cuenta el incremento comercial en este mes de diciembre; el CSIRT Financiero recomienda extremar las medidas de seguridad al realizar compras por internet, verificando que la url del sitio coincide con la web del sitio visitado y que su dirección empieza por https, de la misma forma revisar de manera periódica los estados de cuenta de las tarjetas de crédito, con el fin de identificar cargos por compras fraudulentas. Teniendo en cuenta lo anteriormente mencionado, el CSIRT Financiero se ha identificado un Skimmer [obtención de información de tarjetas de crédito o débito utilizado en el momento de la transacción, con la finalidad de reproducir o clonar las tarjetas], presente en sitios web de compras, el cual podría comprometer los datos de los usuarios en compras realizadas en línea.

Nuevo malware dirigido a equipos con sistema operativo MacOS.

Publicado: 09/12/2019 | Importancia: Media

El CSIRT Financiero ha identificado un nuevo malware con capacidades para realizar espionaje e intrusión de equipos, por sus características y procedimientos se asocia al grupo de amenazas Lazarus Group. Así mismo, este nuevo malware permite la descarga e instalación de otras fuentes de código malicioso, que podrían comprometer la seguridad de los usuarios o entidades del sector financiero.

Nuevos indicadores de compromiso asociados al troyano bancario Dridex.

Publicado: 09/12/2019 | Importancia: Media

Dridex es considerado como uno de los troyanos bancarios con mayor índice de infección sobre los usuarios de internet. Durante los últimos años ha sufrido diferentes cambios y variantes sobre su código, permitiendo a los ciberdelincuentes explotar esta clase de funcionalidades para la captura de credenciales bancarias.

Nuevos indicadores de compromiso asociados a BalkanRat.

Publicado: 09/12/2019 | Importancia: Media

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados a BalkanRat, un malware de tipo RAT [Remote Access Trojan] que permite a los ciberdelincuentes tomar el control del equipo comprometido mediante línea de comandos para extraer información de tipo financiera y dar paso a otras familias de malware.

Skimmers encontrados en sitio web que ofrecen el servicio de PaaS

Publicado: 07/12/2019 | Importancia: Media

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados al grupo de ciberdelincuentes MageCart, los cuales han comprometido varios sitios web alojados bajo el servicio PaaS [Plataforma como Servicio] a través de Skimmers [obtención de información de tarjetas de crédito o débito utilizado en el momento de la transacción, con la finalidad de reproducir o clonar las tarjetas].

Nueva campaña de MalSpam distribuyendo a Emotet

Publicado: 07/12/2019 | Importancia: Media

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados al troyano bancario Emotet, el cual tiene como objetivo principal exfiltrar las credenciales financieras de los usuarios afectados por este malware. Emotet se propaga generalmente por medio de MalSpam [Malware distribuido a través de correos Spam], infectando los equipos mediante archivos adjuntos o enlaces maliciosos.

PyXie, una RAT escrita en Python

Publicado: 04/12/2019 | Importancia: Media

El CSIRT Financiero ha identificado una RAT (Troyano de acceso remoto), que ha sido escrito en Python llamado por investigadores como “PyXie” y está dirigida al sector industria, se ha visto este malware en conjunto con el malware Cobalt strike y un malware descargador similar al Shifu, en análisis realizados se ha verificado que este intenta realizar entrega de ransomware a usuarios infectados.

Nuevos indicadores de compromiso del Malware Spyware Predator The Thief

Publicado: 04/12/2019 | Importancia: Media

Por medio de fuentes de inteligencia del CSIRT Financiero, se advierte sobre nueva actividad del malware de categoría Spyware “Predator The Thief”, programa malicioso dedicado a la obtención de información personal de usuarios, para luego ser comercializada en redes oscuras.

Nuevos indicadores de compromiso asociados a LokiBot

Publicado: 03/12/2019 | Importancia: Media

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados al troyano bancario LokiBot, el cual es distribuido por medio de campañas de MalSpam [Malware distribuido a través de correos Spam]. El grupo que utiliza este troyano es Gorgon Group, el cual está involucrado tanto en actividades cibercriminales como en actividades dirigidas contra organizaciones gubernamentales a nivel mundial. El grupo está activo desde 2017 y se cree que opera desde Pakistán.

Nuevos indicadores de compromiso asociados al troyano bancario Emotet.

Publicado: 03/12/2019 | Importancia: Media

Desde el CSIRT Financiero se han identificado nuevos indicadores de compromiso asociados al troyano bancario Emotet, el cual tiene como objetivo principal exfiltrar las credenciales financieras de los usuarios afectados por este malware, permitiendo a los ciberdelincuentes la comercialización de esta información a través de la Dark web obteniendo beneficios económicos. Emotet se propaga generalmente por medio de MalSpam [Malware distribuido a través de correos Spam], infectando los equipos mediante archivos adjuntos o enlaces maliciosos.

Actividad reciente del malware Emotet

Publicado: 29/11/2019 | Importancia: Media

El CSIRT Financiero recientemente identifica una campaña de malware que se distribuye a través de campañas de malspam (correo electrónico con malware adjunto). Según análisis realizado por el equipo se encontraron 2280 indicadores de compromiso relacionados al malware Emotet, esta amenaza está orientada a extraer datos de usuarios que resultaran infectados con el malware.

Ryuk Ransomware que afecta empresas a nivel internacional

Publicado: 29/11/2019 | Importancia: Media

Por medio de fuentes de inteligencia del CSIRT Financiero, se advierte sobre el incremento de la distribución del ransomware Ryuk. El último mes se han visto afectadas empresas españolas, con grandes pérdidas de información, este tipo de ciberamenazas podrían ser utilizadas para afectar a usuarios de la región, por lo tanto, se recomienda tener los debidos cuidados, para no ser víctima de ciberdelincuentes.

Indicadores de Compromiso identificados asociados a NanoCore

Publicado: 29/11/2019 | Importancia: Media

El CSIRT Financiero identifica indicadores de compromiso asociados al malware NanoCore, este tipo de amenaza utiliza las mismas técnicas mencionadas anteriormente, su distribución la realiza a través de correo electrónico, el cual incluye una URL maliciosa adjunta o documento con macros, con el fin de infectar usuarios de internet y así tomar control remoto de sus equipos.

Nueva campaña asociada a Raccoon Stealer

Publicado: 28/11/2019 | Importancia: Media

Desde el CSIRT Financiero se ha identificado una nueva campaña asociada a la distribución del malware Raccoon Stealer, el cual apareció en el mes de abril de 2019 y ha tenido gran aceptación dentro de los ciberdelincuentes, al contar con una gama amplia de capacidades y por permitir una fácil obtención de dinero al ser un malware MaaS [Malware-as-a-Service]. Este tipo de amenazas podrían afectar al sector financiero ya que tienen la capacidad de exfiltrar la información sensible de la organización, así mismo puede afectar a los usuarios al verse comprometida su información financiera.

Mispadu, el nuevo troyano que se distribuye a través de anuncios publicitarios.

Publicado: 28/11/2019 | Importancia: Media

Mispadu es un troyano de tipo bancario, que está siendo distribuido principalmente mediante campañas de anuncios publicitarios en la red social Facebook. Este tiene como principal objetivo extraer información de los usuarios por medio de extensiones maliciosas instaladas en los exploradores web. Se ha identificado que el foco principal de las campañas en la región ha sido México y Brasil, sin embargo, no se descartan campañas en nuestro país.

Nuevos indicadores de compromiso asociados al troyano Trickbot.

Publicado: 27/11/2019 | Importancia: Media

El malware de tipo troyano conocido como TrickBot, es uno de los códigos maliciosos más usados en la actualidad en las diferentes campañas por los ciberdelincuentes; esto se da puesto que posee funcionalidades destacables y dentro de estas se encuentra la conexión con un Comando y Control que le permite a los ciberdelincuentes instalar otros códigos maliciosos.

Indicadores de compromiso asociados a MageCart

Publicado: 26/11/2019 | Importancia: Media

MageCart, es la unión de grupos de ciberdelincuentes, su principal motivación es de tipo económico, por lo cual su objetivo principal son los sitios web que permiten realizar transacciones electrónicas como lo son los carritos de compras y pasarelas de pago, exfiltrando la información de las tarjetas de crédito que los usuarios ingresan para realizar sus compras o pagos de productos.

Ginp, troyano bancario dirigido a usuarios de plataforma Android

Publicado: 26/11/2019 | Importancia: Baja

El CSIRT Financiero ha identificado campañas de SMS [Short Message Service], con URL maliciosas o por medio de Pop-Up [ventanas emergentes], que redirigen a URL de descarga del troyano Ginp, el cual pretende instalarse en equipos móviles que tengan sistema operativo Android, con el fin de extraer las credenciales de acceso del usuario de las diferentes aplicaciones.

Nueva variante del malware ATM "DispenserXFS"

Publicado: 22/11/2019 | Importancia: Media

Desde el CSIRT Financiero se ha identificado una nueva variante de malware para ATM, la cual es nombrada como DispenserXFS, este malware permite obtener dinero a los ciberdelincuentes a través de la inyección de código malicioso sobre los dispositivos ATM.

Campañas de malspam distribuyendo droppers [descargadores de malware]

Publicado: 22/11/2019 | Importancia: Media

El Dropper es un tipo de malware utilizado por los ciberdelincuentes con el objetivo de descargar y ejecutar diferentes tipos de malware en las máquinas infectadas, su principal característica es evitar la detección de herramientas perimetrales [antivirus].

Actividad asociada a FIN7

Publicado: 22/11/2019 | Importancia: Media

El CSIRT Financiero a través de su continua búsqueda de amenazas dirigidas al sector financiero, ha identificado una nueva campaña de Spear Phishing asociada al grupo de ciberdelincuentes FIN7. Este grupo identificado también como ATK32 y AG-CR1 se encuentra activo desde el año 2013, su principal motivación es de tipo económica por lo cual sus objetivos son los sectores comerciales y financieros, centran sus esfuerzos delictivos en la búsqueda de información como números de tarjetas de crédito y acceso a datos financieros.

Nuevos indicadores de compromiso asociados con el malware bancario Dridex

Publicado: 20/11/2019 | Importancia: Media

Dridex, catalogado como un troyano bancario, su distribución se realiza por medio de campañas de malspam, las cuales traen consigo diferentes métodos de infección para la descarga y ejecución de este, Dridex cuenta con capacidades como la captura de credenciales de acceso a portales bancarios a través de internet.

Nueva campaña de Malspam asociada al Keylogger Agent Tesla

Publicado: 17/11/2019 | Importancia: Baja

Desde el CSIRT Financiero se han identificado indicadores de compromiso asociados al Keylogger Agent Tesla, el cual se instala en los equipos de los usuarios a través de ingeniería social, el usuario recibe un correo electrónico con un archivo tipo Microsoft Word el cual contiene macros que realizan la descarga del troyano una vez descargado y ejecutado en el sistema. En esta última campaña identificada por el CSIRT Financiero se evidenció que este malware utiliza una vulnerabilidad de Microsoft Office que a pesar de que fue identificada y parcheada por Microsoft hace un poco más de dos años, sigue estando presente en equipos, aumentando la posibilidad de ser infectados por este troyano.

Nueva campaña de malspam asociada al troyano Ursnif

Publicado: 15/11/2019 | Importancia: Media

El CSIRT Financiero ha identificado una nueva campaña asociada al troyano bancario Ursnif utilizado por los ciberdelincuentes a través correos de tipo MalSpam [Correo no deseado con Malware]. Este troyano ha sufrido una constante evolución en sus capacidades de evasión y en sus funciones principales como la exfiltración de información personal del usuario, conexiones con los C2 [Command and Control] y descarga de otras variantes de malware entre otros. Su popularidad dentro de los ciberdelincuentes se debe a la publicación de su código fuente en GitHub en el año 2015.

Ransomware Buran, el nuevo malware de tipo RaaS (Ransomware as a service)

Publicado: 15/11/2019 | Importancia: Media

A través del continuo monitoreo e investigación que realiza el CSIRT Financiero, se han identificado nuevos indicadores de compromiso asociados al ransomware Buran. De acuerdo a su comportamiento esta nueva variante de ransomware, es asociada a evoluciones y mejoras entre diversos tipos de ransomware como lo son Jumper y VegaLocker. Es importante informar que Buran se encuentra expuesto comercialmente en diversos foros rusos de la deep web, permitiendo a los ciberdelincuentes tomar sus servicios a cambio de un 25% de las ganancias generadas por los afiliados a este ransomware.