ARCOTEL - EcuCERT

Alertas

aaaaa

Lorem ipsum dolor sit amet, consectetur adipiscing elit. Ut elit tellus, luctus

20ene25: FORTINET ha publicado información respecto a una vulnerabilidad (CVE-2024-55591) de omisión de autenticación mediante una ruta o canal alternativo [CWE-288] que afecta a FortiOS versión 7.0.0 a 7.0.16 y FortiProxy versión 7.0.0 a 7.0.19 y 7.2.0 a 7.2.12, permite a un atacante remoto obtener privilegios de superadministrador a través de solicitudes diseñadas al módulo websocket Node.js.

13ene25: El malware BadBox apunta ahora a smart TVs basados en AOSP (Android Source Open Projects) este tipo de malware compromete severamente los televisores Android TV y Google TV, específicamente los que no cuentan con el certificado Google Play Protect

13ene25: Investigadores han confirmado la existencia de un exploit bajo la técnica Prueba de Concepto (PoC – técnica de ciberseguridad que se utiliza para demostrar la vulnerabilidad de un sistema) para la vulnerabilidad CVE-2024-49113, también conocida como LDAP Nightmare

15dic24: El EcuCERT recibió la notificación de la presencia de RansomHub en las redes del Ecuador, este ransomware dese su creación ha cifrado y exfiltrado datos de al menos 210 víctimas que representan a los sectores de agua y aguas residuales, tecnología de la información, servicios e instalaciones gubernamentales, servicios de emergencia, alimentación y agricultura, servicios financieros, instalaciones comerciales, transporte y comunicaciones, atención médica y salud pública.

2dic24: El malware Glove Stealer es una incorporación reciente al panorama de las amenazas cibernéticas, que se distingue por su capacidad de eludir el cifrado vinculado a aplicaciones (App-Bound) de Google Chrome. Identificada durante una investigación de una campaña de phishing, representa un momento crucial en la carrera armamentista entre actores maliciosos y soluciones de seguridad tipo infostealer, diseñado para robar información sensible.

12dic24: ClickFix, utiliza tácticas avanzadas de ingeniería social para distribuir malware a través de páginas falsas de Google Meet y Zoom. Es un malware tipo infostealer, diseñado para robar información sensible. Esta técnica, vinculada a grupos avanzados como APT28, destaca por su capacidad de evadir defensas tradicionales, subrayando la necesidad de reforzar las estrategias de seguridad y detección en las organizaciones

21nov24: El equipo de investigación de Kaspersky ha descubierto una nueva campaña maliciosa que explota software popular, como Foxit PDF Editor, AutoCAD y JetBrains. Los atacantes emplean malware para capturar la información de las tarjetas de crédito de las víctimas y detalles sobre sus dispositivos infectados, al mismo tiempo que operan como mineros de criptomonedas y utilizan en secreto el poder de las computadoras infectadas para extraer criptomonedas

18nov24: La vulnerabilidad CVE-2024-20418 es un fallo crítico en el software de Cisco Unified Industrial Wireless que afecta a los puntos de acceso que tienen habilitado el modo de Ultra-Reliable Wireless Backhaul (URWB). Con un puntaje CVSS de 10.0 (máximo), esta vulnerabilidad permite a atacantes remotos y no autenticados ejecutar comandos con privilegios de root en el sistema operativo de los dispositivos afectados.

18nov24: Cisco advierte sobre una vulnerabilidad de día cero identificada como CVE-2023-20269 en sus equipos Cisco Adaptive Security Appliance (ASA) y Cisco Firepower Threat Defense (FTD), la misma es explotada de forma continua por operaciones de ransomware para obtener acceso inicial a las redes corporativas.

15nov24: El malware FakeCall, emplea una técnica conocida como Vishing, así, a través del uso de llamadas telefónicas o mensajes de voz fraudulentos, los ciberdelincuentes engañan a las víctimas para que revelen información confidencial. FakeCall aprovecha el malware para tomar el control casi completo del dispositivo móvil, incluido la interceptación de llamadas entrantes y salientes. Las víctimas son engañadas para que llamen a números de teléfono fraudulentos controlados por el atacante e imiten la experiencia normal del usuario en el dispositivo.

14nov24: VMware ha lanzado actualizaciones de seguridad para las vulnerabilidades críticas con código CVE-2024-38812 y CVE-2024-38813, con las que un actor malicioso podría realizar la ejecución remota de código en las soluciones de Fundación VMware Cloud y VMware vCenter Server que no se corrigió correctamente en el primer parche de septiembre de 2024.

13nov24: NVIDIA ha publicado su boletín de seguridad revelando un total de 8 vulnerabilidades, 5 de ellas consideradas críticas con una puntuación CVSS de 8,8 sobre 10. Afectan directamente al kernel del driver GeForce Driver 566.03 WHQ y pueden permitir que un atacante ejecute código, provoque una denegación de servicio o escale privilegios en el sistema. Los códigos de las vulnerabilidades asociadas son CVE-2019-5665, CVE-2019-5666, CVE-2019-5667, CVE-2019-5668 y CVE-2019-5669.

12nov24: Fortinet ha hecho público nuevos IOCs de la vulnerabilidad crítica ‘FortiJump’ identificado con el código CVE-2024-47575 que afecta al producto FortiManager. La explotación de esta vulnerabilidad podría permitir a un atacante remoto y no autenticado ejecutar código.

30oct24: AsyncRAT es un malware de tipo troyano de acceso remoto (RAT) que se enfoca en infectar dispositivos Windows para monitorizarlos y controlarlos remotamente a través de conexiones seguras y encriptadas. Además, proporciona una puerta trasera a los atacantes que permite incluir el dispositivo como parte de una botnet para realizar otras actividades maliciosas.

30oct24: CVE-2024-10332: se ha encontrado una vulnerabilidad Cross-Site Scripting reflejado en el software Janto v4.3r11 desarrollado por la empresa Impronta. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript en el navegador de la víctima enviándole una URL maliciosa utilizando el endpoint «/abonados/public/janto/main.php».

30oct24: Se descubrió en septiembre de 2024 que tres paquetes maliciosos publicados en el registro NPM contenían un malware conocido llamado BeaverTail, un descargador de JavaScript y ladrón de información vinculado a una campaña en curso de Corea del Norte rastreada como Contagious Interview.

30oct24: Se ha identificado una nueva campaña de ransomware que afecta a organizaciones en países de Latinoamérica especialmente en Colombia. Esta campaña involucra variantes de ransomware conocidas como Makop y Crysis, así como una herramienta adicional para la recolección de credenciales clasificada como Trojan.Win64.Occamy. Los atacantes emplean técnicas avanzadas de evasión y persistencia, lo que hace que estas amenazas sean particularmente difíciles de detectar y mitigar.

18oct24: Se ha identificado una vulnerabilidad crítica en el servicio Postjournal de Zimbra Collaboration Suite; esta vulnerabilidad permite la ejecución remota de comandos arbitrarios (RCE) por parte de atacantes no autenticados enviando correos electrónicos maliciosos con comandos para ejecutar en el campo CC que luego se ejecutarían cuando el servicio postjournal procesa el correo electrónico.

17oct24: Atacantes están explotando una vulnerabilidad crítica en el software Veeam Backup & Replication versión 12.1.2.172 identificada como CVE-2024-40711, para implementar ransomware utilizando un exploit de segunda etapa para crear nuevas cuentas de administrador local y facilitar objetivos adicionales en redes comprometidas.

30sep24: Varias vulnerabilidades del sistema de impresión de código abierto utilizado en sistemas Linux CUPS que se basa en el protocolo de impresión de Internet (IPP) pueden encadenarse para lograr la ejecución remota de código; solo se necesita enviar un paquete UDP especialmente diseñado a una instancia vulnerable expuesto a Internet solicitando que se agregue una impresora. La «impresora» especificada por el atacante es en realidad la dirección del objetivo y CUPS le enviará una solicitud IPP/HTTP. Los CVS asociados son: CVE-2024-47076 (libcupsfilters), CVE-2024-47175 (libppd),- CVE-2024-47176 (cups-browsed), CVE-2024-47177 (cups-filters).

16ago24: Microsoft publicó este martes 13 de agosto, parches de seguridad para una vulnerabilidad crítica en la pila TCP/IP de Windows; la explotación de esta vulnerabilidad permite la ejecución remota de código (RCE) cuando IPv6 está habilitado sin la interacción del usuario, lo que la convierte en una vulnerabilidad de “0 clic”. Para explotar esta vulnerabilidad un atacante no autenticado, envía repetidamente paquetes IPv6, que incluyen paquetes especialmente diseñados a una máquina Windows, lo que podría permitir la ejecución remota de código.

06ago24: El malware Akira de tipo ransomware fue identificado en marzo de 2023, ha afectado a varias víctimas localizadas en Estados Unidos, Europa y Australia. Afectando a sectores entre los que se encuentran: educación, finanzas, bienes raíces, construcción, salud; Prestadores de Servicios de Telecomunicaciones. Emplea técnicas de doble extorsión. Se ha identificado su presencia en estos días en redes del Ecuador.

24jul24: El grupo de ransomware Qilin de origen ruso, también conocido como «Agenda” es un ransomware que opera bajo el modelo Ransomware como Servicio (RaaS), permitiendo que sus afiliados realicen ataques utilizando su infraestructura basada en lenguaje Rust. Este ransomware se ha convertido en una amenaza importante desde su descubrimiento en agosto de 2022 ya que emplea técnicas de doble extorsión; exige pago por la clave de descifrado y otro pago por no publicar la información robada.

22jul24: A raíz del fallo mundial presentado en sistemas Microsoft Azure y sistemas operativos Windows 10 y 11 debido a la aplicación de la última actualización de CrowdStrike Falcon Sensor el pasado 19 de julio, varios ciberatacantes aprovecharon el error para generar dominios asociados para descarga de software malicioso.