Alertas de seguridad

Información de Alertas de Ciberseguridad para el sector Financiero

Para información más detallada del ciclo de la vulnerabilidad por favor revise su suscripción ante el CSIRT.

Alertas de Mayo de 2020

Nueva campaña utilizando el troyano adwind rat

Publicado: 25/05/2020 | Importancia: Media

Desde el Csirt Financiero se ha evidenciado una nueva campaña contra entidades bancarias localizadas en la India, en los ataques se ha utilizado el troyano Adwind RAT. Este malware está programado en Java y permite ejecución multiplataforma sin distinción del sistema operativo, siempre y cuando cuente con Java instalado.

LOLSnif, nueva variante basada en el troyano bancario Ursnif.

Publicado: 24/05/2020 | Importancia: Media

Ursnif: es un troyano bancario que ha tenido diferentes variantes debido a la estabilidad de su código. La variante que se analizará utiliza técnicas basadas en LOLBINS y varias capas de ofuscación con el fin de dificultar su detección. También utiliza Internet Explorer para realizar la comunicación con el servidor de comando y control (C2), ya que mediante este navegador puede omitir configuraciones de proxy en redes corporativas.

Nuevo grupo Vendetta afecta organizaciones de Europa y Latinoamérica

Publicado: 23/05/2020 | Importancia: Media

El nuevo grupo de ciberdelincuentes denominado Vendetta, interactúa con las víctimas mediante mensajes de correo electrónico tipo phishing, suplantando autoridades de Europa y México con cartas de investigación relacionada a un aviso de detección de COVID-19, estos documentos señuelos ejecutan puertas traseras e instalan malware en la memoria del equipo comprometido.

Nuevo malware dirigido a dispositivos ATM

Publicado: 21/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha conocido acerca de un nuevo malware dirigido a cajeros automáticos (ATM), este hace parte de la familia del malware conocida como Dispcash.

Nuevos indicadores de compromiso asociados a IcedID.

Publicado: 21/05/2020 | Importancia: Media

A través del continuo monitoreo realizado por el equipo del Csirt Financiero a nuevos vectores de amenazas, se han identificado nuevos indicadores de compromiso asociados a IcedID, troyano con capacidades para expandirse a través de la red, monitorear la actividad del navegador web mediante la configuración de un proxy local con el fin de crear un túnel de tráfico.

Nuevos indicadores de compromiso asociados a Emotet.

Publicado: 19/05/2020 | Importancia: Media

Desde el Csirt Financiero se han identificado nuevos indicadores de compromiso asociados a Emotet, troyano que permite a los ciberdelincuentes a través de diferentes técnicas, la extracción de información relacionada con credenciales de acceso a portales bancarios.

Copperhedge, Taintedscribe y Pebbledash, malware distribuido por Hidden Cobra

Publicado: 18/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado indicadores de compromiso de nuevos malware asociados al grupo APT Hidden Cobra (conocidos también con el nombre de Lazarus), este grupo de ciberdelincuentes ha sido protagonista de ataques en los que han obtenido grandes sumas de dinero de entidades financieras en todo el mundo; ahora agregaron a su arsenal de malware los troyanos Copperhedge, Taintedscribe y Pebbledas.

Spyware Mandrake, malware sin detección por más de 4 años

Publicado: 18/05/2020 | Importancia: Media

En el constante monitoreo que realiza el equipo del Csirt Financiero se han identificado campañas de infección del malware Mandrake, el cual es un spyware que había pasado desapercibido por más de 4 años, creando múltiples aplicaciones Android para tomar control total del dispositivo exfiltrando los datos sensibles.

Servicios expuestos en Colombia

Publicado: 17/05/2020 | Importancia: Baja

El Csirt Financiero se encuentra monitoreando diferentes fuentes de información públicas relacionadas con las infraestructuras que se localizan en la región, verificando un alto crecimiento del teletrabajo

Nuevos indicadores de compromiso asociados con Lampion

Publicado: 17/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado actividad reciente del malware Lampion, el cual ha migrado a una nueva versión según lo observado en el mes de mayo del presente año, suplantando facturas bancarias, facturas relacionadas al grupo Vodafone, así como fondos de emergencia otorgados por el gobierno portugués por la presente pandemia COVID-19, todo a través del envio de mensajes correo tipo malspam.

Actualizaciones de seguridad para Adobe DNG, Acrobat y Reader

Publicado: 17/05/2020 | Importancia: Media

Dentro del constante monitoreo que realiza el equipo del Csirt Financiero, se identificaron 36 vulnerabilidades en Adobe DNG, Acrobat y Reader, que podrían permitir a un ciberdelincuente la interrupción de la disponibilidad de los servicios e incluso la exfiltración de información.

Compañía Diebold Nixdorf víctima de ransomware ProLock.

Publicado: 16/05/2020 | Importancia: Media

En el constante monitorio que el Csirt Financiero realiza, se observó que la empresa Diebold Nixdorf, proveedora de cajeros automáticos ATM y software de pago para bancos, fue atacada con el ransomware ProLock. Según medios oficiales el ataque solo afectó la red corporativa y no afecto cajeros automáticos ni redes de clientes.

Nuevos indicadores de compromiso asociados a Dridex

Publicado: 16/05/2020 | Importancia: Media

Desde el Csirt Financiero se han identificado nuevos indicadores de compromiso asociados a una nueva campaña de malspam mediante la cual se distribuye al troyano Dridex, también conocido como Cridex, diseñado para capturar información financiera e introducir al equipo infectado en una botnet.

Actualización del ransomware Sodinokibi

Publicado: 14/05/2020 | Importancia: Media

Investigadores han detectado una nueva actualización del ransomware Sodinokibi, consistente en el uso de la API llamada ‘Windows Restart Manager’, con el fin de cerrar o apagar los procesos de los servicios que tienen abiertos o bloqueados los archivos y así poder cifrar una mayor cantidad de archivos.

Indicadores de compromiso relacionados al grupo APT Silence.

Publicado: 14/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso relacionados con campañas de ataques perpetrados por el grupo cibercriminal Silence, el cual tiene como objetivo suplantar entidades financieras en mensajes de correo electrónico haciendo que los empleados de dichas entidades descarguen archivos adjuntos maliciosos y exfiltrar información financiera confidencial.

Nueva variante de un troyano bancario de origen brasileño

Publicado: 13/05/2020 | Importancia: Media

Desde el Csirt Financiero se ha detectado una nueva campaña dirigida a usuarios localizados en Portugal. Dicha campaña está distribuyendo una nueva variante de un troyano bancario de origen brasileño, el cual tiene como objetivo la superposición de ventanas en el navegador del usuario para la exfiltración de las credenciales bancarias.

Nuevo malware puede exfiltrar datos de sistemas Air-Gapped manipulando la fuente de poder.

Publicado: 13/05/2020 | Importancia: Media

En el constante monitoreo que realiza el Csirt Financiero se observó un nuevo malware denominado POWER-SUPPLaY con la capacidad de exfiltrar información confidencial de equipos en sistemas Air-Gapped, manipulando la frecuencia de conmutación interna de una fuente de alimentación para reproducir sonidos y usarlo como un altavoz secundario.

Vulnerabilidades críticas en Oracle iPlanet Web Server 7.0.

Publicado: 12/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado múltiples problemas de seguridad en servidores web iPlanet Web Server 7,0 los cuales ya no cuentan con soporte y actualmente hay 20 servidores en Colombia que ejecutan la versión afectada. Estas vulnerabilidades permiten la exposición de datos confidenciales y la inyección de imágenes para modificar los dominios web.

Vulnerabilidades de seguridad de SaltStack Salt en VMware vRealize Operations Manager

Publicado: 12/05/2020 | Importancia: Media

Se han evidenciado dos vulnerabilidades importantes de seguridad en SaltStack Salt de VMware vRealize Operations Manager, las cuales permiten el acceso sin autenticación de un agente remoto y recorrer el directorio de forma arbitraria.

Malware Evilnum con modificaciones para atacar al sector financiero

Publicado: 12/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado una campaña de ataques a empleados y usuarios de entidades financieras extranjeras con una versión mejorada del malware Evilnum, el cual tiene la capacidad de cargar y descargar archivos, recolectar cookies de seguimiento y ejecutar comandos arbitrarios en el equipo comprometido.

Nefilim / Nephilim Ransomware, sucesor de Nemty ransomware

Publicado: 11/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado una nueva variante de Nemty Ransomware denominado Nefilim o Nephilim Ransomware, la cual tiene por objetivo cifrar la información confidencial y exfiltrarla para extorsionar a las empresas vulneradas. En la última campaña realizada se enfocó en empresas privadas como refinerías petroleras, de ingeniería y de construcción.

Nueva campaña de distribución de RemcosRAT

Publicado: 11/05/2020 | Importancia: Media

Reporte de un mensaje de correo electrónico, aparentemente originado por la Fundación Cielo Azul Bogotá, con el asunto “INFORMACION FUNDACION” que a través del enlace realiza la descarga de RemcosRAT.

Vulnerabilidades de seguridad en controladores Citrix ShareFile

Publicado: 11/05/2020 | Importancia: Media

Dentro de la constante labor investigativa que realiza el equipo del Csirt Financiero se identificaron correcciones de software emitidas por Citrix para mitigar las vulnerabilidades que afectan servicios brindados a través de sus productos

Servicios expuestos en Colombia

Publicado: 10/05/2020 | Importancia: Baja

El Csirt Financiero se encuentra realizando el monitoreo de las diferentes fuentes de información públicas relacionadas con las infraestructuras que se localizan en la región, evidenciando el alto crecimiento del teletrabajo.

Vulnerabilidad en IBM Java SDK afectan a Rational Service Tester

Publicado: 10/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado vulnerabilidad en IBM SDK Java Technology Edition, Versión 1.8 y IBM Runtime Environment Java Versión 1.8, utilizadas por Rational Service Tester, una herramienta de IBM para realizar servicios de prueba y comprobar la calidad de las aplicaciones con arquitectura orientada a servicios tanto en plataforma Windows como en Linux.

Maze Team utiliza nuevas formas de extorsión orientada a la afectación reputacional

Publicado: 10/05/2020 | Importancia: Media

En el monitoreo que realiza el equipo del Csirt Financiero ha identificado que el grupo Maze Team, ciberdelincuentes gestores del ransomware Maze, están implementando las bases de una nueva forma de extorsión a través de la afectación reputacional. Entre los meses de marzo y mayo del 2020 el grupo trató de extorsionar al Banco de Costa Rica, generando una importante afectación reputacional comunicando que había hurtado 11 millones de tarjetas de crédito de los clientes de la entidad.

Nueva variante de malware de ATM de la familia CessoATM.

Publicado: 09/05/2020 | Importancia: Media

Investigadores han detectado una nueva variante del malware de la familia CessoATM, en la que en este caso impacta también a cajeros automáticos del fabricante NCR. Esta familia de malware fue descubierta en marzo del 2020, cuando se verificaron unas muestras de malware no conocidas hasta la fecha en VirusTotal. Ha impactado principalmente en Brasil, pero debido a la estructura del malware se evidencia que está preparado para afectar a otros países localizados en Latinoamérica, además de Estados Unidos.

Vulnerabilidades de seguridad en NGINX Controller.

Publicado: 09/05/2020 | Importancia: Media

Se detectan tres vulnerabilidades importantes de seguridad en NGINX las cuales implican problemas al desbordamiento de búfer, inicios de sesión incorrecta y permisos por defecto; la ejecución de estas amenazas puede acarrear serios problemas y comprometer en su totalidad el sistema operativo debido a la ejecución de código arbitrario.

Nuevo ransomware Vcrypt, bloquea archivos utilizando 7Zip

Publicado: 08/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado un nuevo ransomware denominado Vcrypt, este malware utiliza el programa 7Zip para comprimir la información del equipo protegido mediante contraseña y luego eliminar el contenido de las carpetas originales, dejando solo las carpetas comprimidas.

Nuevos indicadores de compromiso asociados a QakBot.

Publicado: 07/05/2020 | Importancia: Media

El equipo del Csirt Financiero ha identificado nuevos indicadores de compromiso asociados a QakBot, el cual se distribuye a través de campañas de malspam con documentos de tipo Microsoft Word con macros maliciosas embebidas para infectar equipos evadiendo su detección.

Archivo