Alertas de seguridad

Información de Alertas de Ciberseguridad para el sector Financiero

Para información más detallada del ciclo de la vulnerabilidad por favor revise su suscripción ante el CSIRT.

Alertas de 2019

Campaña de grupo Magecart vinculado a malware Carbanak y Dridex

Publicado: 23/10/2019 | Importancia: Media

Se ha identificado una campaña de phishing que emplea avisos de facturas falsas para distribuir el malware Dridex, esta campaña se atribuye al grupo 5 de Magecart, su método principal de propagación es mediante correo electrónico, la relación de atribución a este grupo se hace debido a la relación de indicadores de compromiso identificados en campañas de dridex y magecart5.

Nuevas campañas del grupo APT TA505

Publicado: 22/10/2019 | Importancia: Media

El CSIRT Financiero a identificado nueva actividad del grupo TA505, en la que se evidencian tres campañas de phishing dirigidas a personas de habla griega, inglesa y francesa, en las que se envían correos con asuntos que pretenden engañar a los usuarios para que abran una URL o archivo adjunto, con el fin de lograr que se descargue la infección de malware llamado Get2.

Nuevos indicadores de compromiso, esta vez relacionados con el troyano bancario Gustuff

Publicado: 22/10/2019 | Importancia: Media

Gustuff es un troyano bancario diseñado para dispositivos móviles [Android] capaz de obtener credenciales bancarias de una gran lista de aplicaciones de banca móvil. Su método de infección es a través de mensajes de texto [SMS] con enlaces a archivos APK maliciosos.

Nuevos indicadores de compromiso relacionados con el troyano bancario Emotet.

Publicado: 21/10/2019 | Importancia: Media

El CSIRT Financiero mediante sus fuentes de información ha identificado un aumento en las campañas del troyano bancario conocido como Emotet, cada una de las campañas busca obtener información confidencial y privada, sin embargo, cada día han realizado ajustes en el código con el fin de evitar ser detectados, crear persistencia en los sistemas infectados e incluso, ser puente para inyectar nuevos códigos maliciosos.

Nuevos indicadores de compromiso asociados a campaña de FIN7

Publicado: 20/10/2019 | Importancia: Media

Fin7 es un grupo de ciberdelincuentes, del cual se tiene registro de actividad aproximadamente desde el año 2015. Este grupo desarrolló diferentes campañas enviando de manera masiva código malicioso por correo electrónico, es de aclarar que la gran mayoría de sus campañas han sido dirigidas al sector financiero con el fin de obtener datos sensibles de los usuarios afectados o en el peor de los casos, hasta ejecución de comandos remotos en cajeros automáticos ATM para lograr extraer dinero de los mismos.

ATM Boostwrite, descargador de múltiples variantes de malware

Publicado: 19/10/2019 | Importancia: Media

Desde las fuentes de información del CSIRT Financiero se ha identificado una muestra del malware Boostwrite, el cual está asociado al grupo de amenazas APT FIN7; el malware Boostwrite es un dropper (descargador de malware) dirigido a cajeros automáticos, con el fin de ejecutar diferentes tipos de malware en el ATM infectado, hasta el momento se desconoce el método de propagación de la infección.

Nueva campaña de phishing distribuye troyano Ursnif/Dridex

Publicado: 19/10/2019 | Importancia: Media

Desde las fuentes de información del CSIRT Financiero se ha identificado una muestra del malware Boostwrite asociado al grupo de amenazas APT FIN7; este malware es un dropper (descargador) dirigido a cajeros automáticos, con el fin de ejecutar diferentes tipos de malware en el ATM infectado, hasta el momento se desconoce el método de propagación de la infección.

Nuevos indicadores de compromiso asociados a Cobalt Group

Publicado: 19/10/2019 | Importancia: Media

Desde las fuentes de información del CSIRT Financiero se han identificado nuevas campañas de distribución del troyano bancario CobInt a través de campañas de malspam, las cuales son asociadas a Cobalt Group. Para estas campañas en específico se utilizaron correos electrónicos maliciosos enviados desde Gateways.

Nueva campaña del grupo TA505 busca diseminar el descargador Get2 en conjunto al RAT SDBbot.

Publicado: 19/10/2019 | Importancia: Baja

Desde las fuentes de información del CSIRT Financiero se ha encontrado que el grupo de amenazas TA505, ha liberado una nueva campaña de tipo malspam hacia los usuarios de internet. De modo que busca afectar diversos sectores, entre ellos el financiero. Esta nueva campaña busca infectar a los usuarios con el troyano RAT SDBbot a partir de su nuevo troyano descargador Get2.

Jackpotting, técnica que utilizan los ciberdelincuentes para instalar malware Cutlet Maker

Publicado: 17/10/2019 | Importancia: Baja

Por medio de fuentes de información el CSIRT Financiero ha identificado nuevos detalles de la técnica conocida como Jackpotting, esta ha sido utilizada por ciberdelincuentes para obtener acceso a dispositivos ATM y dar paso a la instalación de Cutlet Maker, un malware que va dirigido a obtener la manipulación de los cajeros automáticos para lograr la expulsión de dinero.

Nueva campaña de malspam busca infectar a usuarios con RemcosRAT

Publicado: 16/10/2019 | Importancia: Media

Desde el CSIRT Financiero se han analizado nuevos indicadores de compromiso asociados a la herramienta de administración remota RemcosRAT. Esta herramienta permite a los ciberdelincuentes obtener acceso total a las máquinas de los usuarios una vez han sido infectados por medio de documentos maliciosos, estos documentos son distribuidos por medio de campañas de malspam, donde una vez es ejecutado el archivo malicioso sobre las máquinas de los usuarios, descargan una variante de RemcosRAT que podría ser utilizada para la extracción de información del usuario o incluso credenciales de acceso.

Nueva campaña de correo malicioso distribuyendo malware Emotet

Publicado: 15/10/2019 | Importancia: Media

Se ha identificado actividad reciente de una nueva campaña de correos maliciosos distribuyendo el malware Emotet, la campaña busca aprovecharse de los usuarios poco precavidos al interactuar con correos de este tipo y de esta manera lograr que los usuarios descarguen el malware en mención y así lograr capturar datos personales y credenciales.

SimJacker, Vulnerabilidad de las tarjetas SIM

Publicado: 14/10/2019 | Importancia: Media

SimJacker es una vulnerabilidad que puede explotarse de forma remota afectando una amplia gama de tarjetas SIM (Subscriber Identity Module). Desde el CSIRT Financiero se ha identificado que la vulnerabilidad recientemente ha afectado alrededor de 29 países en donde las SIM siguen en uso.

Nuevos indicadores de compromiso del troyano bancario Emotet

Publicado: 12/10/2019 | Importancia: Media

Desde el CSIRT Financiero se ha evidenciado que durante los últimos meses Emotet ha aumentado su actividad delictiva a través de diferentes campañas de malspam, donde los ciberdelincuentes han aprovechado la taxonomía de este troyano para diseminarlo.

Nuevos indicadores asociados a la APT FIN6

Publicado: 12/10/2019 | Importancia: Media

Desde CSIRT Financiero se han identificado nuevas amenazas relacionadas con APT FIN6, este grupo de hackers, ha robado datos de tarjetas de pago y los ha vendido en mercados clandestinos para obtener ganancias, tradicionalmente ha hecho sus intrusiones dirigidas a entornos de puntos de venta; aunque sus técnicas de ataques se han visto constantemente modificadas con el fin de apuntar a sitios de comercio electrónico.

Actividad reciente de las amenazas CobInt y Cobalt Strike relacionados a Cobalt Group

Publicado: 11/10/2019 | Importancia: Media

Desde el CSIRT Financiero se han identificado actividad de los malware CobInt y Cobalt Strike. Programas maliciosos utilizados para descarga de malware y para pruebas de penetración, que tiene funciones propias diseñados para ejecutar ataques dirigidos. Se desconoce exactamente el método de distribución de estas amenazas, pero se tiene evidencia de muestras de estos que han sido propagados mediante correo con archivo de Office adjunto el cual induce mediante técnicas de engaño a usuarios a abrir los permisos de ejecución de macros.

Campaña de malspam que distribuye malware Qakbot.

Publicado: 11/10/2019 | Importancia: Media

CSIRT Financiero a identificado una nueva actividad de malspam que distribuye el malware Qakbot. Este tiene como finalidad infectar a los usuarios de internet para extraer datos personales de sus dispositivos Windows.

Nuevos indicadores de compromiso asociados a TA505

Publicado: 10/10/2019 | Importancia: Media

El equipo del CSIRT Financiero identificó una campaña del grupo TA505 en la que se presume, debido a la trayectoria del grupo ciberdelincuente, que van por información de los usuarios. El modo de operar de este grupo por lo general es enviando código malicioso por medio de correos no deseados y luego de esto, esperar a que una persona interactúe con el correo electrónico y así poder obtener los datos personales.

Phishing dirigido a Latinoamérica asociado a malware Bandload

Publicado: 09/10/2019 | Importancia: Media

El CSIRT Financiero a identificado actividad de phishing que distribuye el malware Banload, el método de infección más común es la distribución a través de correo electrónico, seguido de la ocultación del malware apps y el uso de archivos como “Games of Thrones” o cracks para la activación de programas como office y Windows. El fin de este malware es que el usuario lo descargue para posteriormente ejecutar la descarga de otro tipo de malware que realiza extracción de información.

Indicadores de amenaza relacionadas a botnet Geost

Publicado: 08/10/2019 | Importancia: Media

Se ha identificado una nueva botnet llamada Geost que afecta dispositivos Android y busca capturar datos de las cuentas de los usuarios dueños de los dispositivos. El método de propagación de esta botnet se ha realizado por medio de diferentes APK's infectadas que provienen de tiendas de apps no oficiales, el malware que realiza la infección de esta botnet es conocido como “HTBot”.

Análisis de amenaza FrameworkPOS

Publicado: 08/10/2019 | Importancia: Media

En la búsqueda constante de nuevas amenazas, El CSIRT Financiero ha identificado un malware de nombre FrameworkPOS, (Point of Sale – Punto de venta). Este malware está orientado al robo de información de tarjetas de pago y se ha logrado encontrar que probablemente sea una variante del malware llamado GratefulPOS, MozartPOS. Investigadores atribuyen esta amenaza al grupo ciberdelincuente llamado FIN6.

Técnicas de infección de malware Nodersok sin uso de archivos

Publicado: 07/10/2019 | Importancia: Media

Se ha identificado una campaña de malware denominado Nodersok por Microsoft o Divergent por Cisco Talos, que utiliza técnicas avanzadas como activar malware ejecutando un archivo HTA (Hypertext Application o HTML Application) que actúa conjuntamente con Internet Explorer, el cual inicia el proceso de infección a través de varias etapas que pueden utilizar scripts de JS y PowerShell que generalmente vienen cifrados. El fin del malware es convertir la máquina víctima en un posible zombi proxy para poder ser aprovechada y tener acceso a sus recursos.

Nueva campaña de malspam busca distribuir Trickbot

Publicado: 07/10/2019 | Importancia: Media

Desde el CSIRT Financiero se ha identificado una nueva campaña de envío masivo de correos electrónicos que distribuye código malicioso, en este caso, se está distribuyendo el troyano bancario llamado denominado Trickbot.

Nueva actividad del grupo Lazarus

Publicado: 06/10/2019 | Importancia: Media

Gracias a las fuentes de información del CSIRT Financiero, se ha logrado identificar una nueva actividad del grupo Lazarus. En esta ocasión el grupo en mención desarrolló un nuevo malware que está diseñado para afectar de manera directa los procesos de Microsoft Windows, como también realizar la captura de datos a partir de un componente oculto.

Actividad de Malware Casbaneiro que afecta a países de Latinoamérica.

Publicado: 06/10/2019 | Importancia: Media

Investigadores de la firma ESET descubrieron actividad de malware llamado Casbaneiro y también conocido como Metamorfo que afectó a Brasil y México. La distribución de este malware se cree que se ha realizado a través de correo electrónico malicioso. Utiliza técnicas de ingeniería social con el fin de persuadir usuarios para que ingresen sus datos y poder ser utilizados por los ciberdelincuentes.

Nueva vulnerabilidad en tarjeta SIM, nombrada “WiBattack”

Publicado: 03/10/2019 | Importancia: Media

Desde el CSIRT Financiero se identifica una nueva vulnulnerabilidad en las tarjetas SIM la cual es similar a Simjacker, que permite a atacantes rastrear los dispositivos de los usuarios ingresando de forma no autorizada a las aplicaciones del navegador de Internet inalambrico en donde se ejecutan las tarjetas SIM. Si un atacante lograra explotar la vulnerabilidad podría tomar el control de un dispositivo móvil.

Campaña de Phishing que distribuye Lokibot

Publicado: 02/10/2019 | Importancia: Media

Se ha identificado una campaña de phishing la cual distribuye el malware lokibot. El fin de esta campaña es poder infectar usuarios, para que sean inmersos en la botnet, además, poder extraer datos que podrían afectar las finanzas del usuario involucrado. Se tiene conocimiento que la distribución de esta campaña se centra en el envío de correos con archivos adjuntos de tipo RAR o ejecutables que al momento de ser abiertos por el usuario inicia el proceso de infección del equipo.

WhiteShadow, descargador de Malware utilizado en campañas de spam

Publicado: 02/10/2019 | Importancia: Media

El CSIRT Financiero en la verificación y búsqueda de amenazas ha identificado a WhiteShadow, un descargador de malware que se ha propagado mediante campañas de spam, esta amenaza utiliza servicios de Microsoft SQL para propagar su malware en otros equipos que sean vulnerables, investigadores han identificado la distribución de troyanos como agente tesla, AZORult, Nanocore, njRat, orion logger, Remcos, formbook RAT, descargadores y cepas de keylogger. Aun se desconoce la atribución de esta amenaza y se cree que la motivación es financiera.

Nuevos indicadores de compromiso asociados a Trickbot y Emotet

Publicado: 02/10/2019 | Importancia: Media

Trickbot y Emotet son troyanos de tipo bancario, cada uno cuenta con características diferentes, pero cuentan con la misma funcionalidad, la captura de datos de los usuarios que sean infectados con esta amenaza. Desde el CSIRT Financiero se ha identificado una nueva campaña la cual distribuye de los dos troyanos, con el objetivo de obtener la mayor cantidad de datos y así generar un beneficio económico a costas de los usuarios poco precavidos.

Análisis Ransonware REvil/Sodinokivi, asociado a GandCrab

Publicado: 01/10/2019 | Importancia: Media

El CSIRT Financiero ha realizado análisis a la amenaza identificada como REvil Ransomware. Esta fue observada por primera vez a mediados de abril de 2019, ha sido distribuida mediante malspam, y utiliza técnicas para explotar vulnerabilidades como las de Oracle weblogic y ataques mediante protocolo RDP. Se tiene conocimiento que tiene motivaciones financieras ya que es atribuida al grupo de ciberdelincuentes Gold Southfield.