A continuación, hemos seleccionado las noticias de seguridad a nivel mundial más relevantes
Malware, phishing, ransomware y vishing
Nexus, troyano bancario para Android
El equipo de investigadores de Cyble ha detectado recientemente una publicación en un foro underground sobre el desarrollo de un nuevo troyano bancario dirigido a Android. Este software malicioso, que ha recibido el nombre de Nexus, estaría siendo distribuido a través de páginas de phishing que suplantan sitios web legítimos de Youtube Vanced. Asimismo, los investigadores han analizado las muestras de Nexus. Cabe destacar que, el malware solicita al usuario que habilite el Servicio de Accesibilidad al iniciarlo por primera vez, para después poder capturar el registro de teclas. Además, exfiltra información sensible y la lista de aplicaciones instaladas al servidor C&C, pudiendo obtener las credenciales de la aplicación bancaria objetivo. En último lugar, cabe indicar que por el momento Nexus apunta hasta un total de 40 aplicaciones bancarias con el objetivo de exfiltrar dichas credenciales. Accede a la noticia completa en https://blog.cyble.com/2023/03/09/
Bidencash publica más de 2 millones de registros de tarjetas de crédito robadas
Como celebración de su primer año de operaciones, el mercado de carding alojado en la deep web BidenCash ha publicado una base de datos de más de dos millones de tarjetas de débito y crédito. Según el análisis de la información realizado por investigadores de Cyble, esta contendría información personal como nombres, correos electrónicos, números de teléfono y dirección, además de detalles de las tarjetas de crédito, fechas de expiración y códigos CVV. La información comprometida afectaría a usuarios de diversos países, siendo el más afectado Estados Unidos con más de 965.000 registros, seguido de México y China con alrededor de 97.000 cada uno. Las entidades financieras con mayor presencia en la base de datos serían Chase Bank USA, Bank of America y Wells Fargo Bank. El acceso gratuito a una base de datos de este volumen ofrece mayor facilidad a los actores maliciosos para llevar a cabo intentos de fraude. Accede a la noticia completa en https://blog.cyble.com/2023/03/01
Campaña de MedusaLocker que distribuye GlobeImposter ransomware
Investigadores de AhnLab ASEC han publicado un informe acerca de una nueva campaña de distribución del ransomware GlobeImposter llevada a cabo por los operadores del grupo MedusaLocker. La investigación revela que MedusaLocker escanea sistemas vulnerables a ataques RDP mediante fuerza bruta o ataques de diccionario. Una vez dentro del sistema crea una subcarpeta llamada “skynet network” dentro de la carpeta “Music”, en donde instala GlobeImposter, que es un tipo de ransomware que utiliza el algoritmo de clave simétrica AES para el cifrado de archivos y un algoritmo de clave RSA pública/privada para el cifrado de claves. Además del ransomware mencionado, MedusaLocker ha usado el acceso RDP para instalar otros tipos de software malicioso como PortScanner y Mimikatz. Accede a la noticia completa en https://asec.ahnlab.com/en/48940/
Campaña de phishing que intenta suplantar a Booking para robar tus credenciales
Se ha detectado una campaña de phishing que trata de suplantar a la plataforma de reservas de alojamiento Booking. Para ello, los ciberdelincuentes utilizan una técnica llamada Browser in the Browser mediante la cual, a través de ventanas emergentes maliciosas intentan robar las credenciales del usuario.
Si has recibido un correo electrónico te recomendamos que lo elimines directamente y advertir al resto de compañeros para evitar posibles víctimas.
Si ya has facilitado las credenciales en la ventana emergente, debes cambiarlas inmediatamente y activar un doble factor de autenticación en el gestor de correo. Accede a la noticia completa en INCIBE.
ScrubCrypt, malware contra servidores Oracle Weblogic
Investigadores de FortiGuard Labs han publicado un informe acerca del actor amenaza conocido como 8220 Gang, destacando el uso por parte del actor de un nuevo tipo de malware desconocido hasta ahora llamado ScrubCrypt. Este programa malicioso, que tiene capacidades de encriptado de archivos y altas medidas de evasión y persistencia, ataca una HTTP URI específica de Oracle Weblogic (wls-wsat/CoordinatorPortType) para lograr el acceso inicial al sistema objetivo, e instalar el archivo OracleUpadate.bat, que simula ser un archivo de sistema pero que contiene el malware. Según la investigación, 8220 Gang usa ScrubCrypt para iniciar un proceso de minería de criptomonedas, en este caso Monero. Accede a la noticia completa en https://www.fortinet.com/
Si tu empresa ha sido víctima de un ataque, puedes llamar al teléfono 017, es una línea gratuita que el Instituto Nacional de Ciberseguridad (INCIBE) pone a tu disposición.
¡Hasta pronto!
