⚠️ Infostealer Rhadamanthys - CERT.br

Recibimos una notificación oficial del CERT.br, el Grupo de Respuesta a Incidentes de Seguridad mantenido por NIC.br, sobre la posible exposición de credenciales de alumnos debido a la infección por un malware llamado Rhadamanthys.

Este virus, instalado en computadoras Windows de usuarios finales, puede capturar las contraseñas ingresadas en formularios (campo de contraseña) y enviarlas al atacante.

Importante: no se trata de una falla, intrusión o filtración interna en la infraestructura de Cademí.

La información se recolectó en la computadora del alumno infectado, según se determinó en nuestra reunión técnica de evaluación de incidentes de seguridad.

Más detalles: https://status.cademi.cloud/incidents/b4gwfwpst5r3

Post-mortem

Recibimos una notificación oficial del CERT.br que informa que credenciales relacionadas con el dominio de algunas plataformas en Cademí fueron capturadas por el malware Rhadamanthys, un spyware que infecta computadoras Windows y registra las contraseñas escritas en el navegador.

Es importante reforzar:

No hubo falla, intrusión ni filtración en nuestra infraestructura, sistemas o base de datos. El compromiso ocurrió directamente en la computadora del usuario, que estaba infectada con el malware. Muchos dominios brasileños están siendo notificados debido a la gran escala del ataque.

¿Quién es el CERT.br?

El CERT.br es un Grupo de Respuesta a Incidentes de Seguridad (CSIRT) Nacional de Último Recurso, mantenido por NIC.br. El CERT.br ayuda a tratar incidentes que involucran cualquier red que utilice recursos administrados por NIC.br (IP o ASN asignados a Brasil y dominios bajo el ccTLD .br).

Qué significa esto para su operación

Las contraseñas capturadas son de usuarios que accedieron a su plataforma cuando su computadora ya estaba comprometida. Por esta razón:

Cualquier contraseña escrita en estos dispositivos puede haber sido interceptada, incluidos correo electrónico, redes sociales, servicios bancarios y otros sistemas. La contraseña usada para acceder a la plataforma aparece parcialmente en los registros enviados por NIC.br (con caracteres enmascarados, siguiendo buenas prácticas).

Orientaciones obligatorias para los usuarios afectados

Para garantizar su seguridad, es fundamental que sus alumnos sigan el orden correcto de las acciones:

1\) Antes de cambiar cualquier contraseña, el usuario debe ejecutar un antivirus en la computadora.

De lo contrario, la nueva contraseña también será capturada por el malware.

2\) Después de eliminar el virus, el usuario debe cambiar todas las contraseñas escritas en la computadora infectada:

Correo electrónico Servicios bancarios Redes sociales Sistemas corporativos Y, solo después, la contraseña de la plataforma

Este orden es crucial para evitar que nuevas credenciales sean comprometidas.

Transparencia y soporte

Mantenemos total colaboración con el CERT.br y NIC.br y ofrecemos apoyo completo a los administradores.

Si tiene dudas o necesita ayuda con la comunicación o los procedimientos, estamos a su disposición.

Más información sobre lo ocurrido:

Shadowserver - CRITICAL: Rhadamanthys Historical Bot Infections Special Report https://www.shadowserver.org/what-we-do/network-reporting/rhadamanthys-historical-bot-infections-special-report/ Europol - End of the game for cybercrime infrastructure: 1025 servers taken down https://www.europol.europa.eu/media-press/newsroom/news/end-of-game-for-cybercrime-infrastructure-1025-servers-taken-down Operation Endgame https://operation-endgame.com/

👉 También puede verificar si su correo electrónico ya apareció en alguna filtración conocida en https://haveibeenpwned.com/.

Información técnica adicional sobre el incidente (nivel avanzado)

La alerta recibida forma parte de un conjunto de datos clasificados como CRÍTICOS, enviados al CERT.br a través de la Operation Endgame, una acción internacional coordinada por fuerzas de seguridad que derribó y analizó la infraestructura criminal del malware Rhadamanthys.

A diferencia de los informes diarios comunes, estos datos forman parte de un "Special Report", un conjunto único de información de alto valor reunido tras una investigación detallada que duró varios meses. Este tipo de informe se envía cuando las autoridades logran obtener, analizar y compartir registros históricos sobre computadoras que estuvieron infectadas, lo que permite notificar a las víctimas aunque la infección haya ocurrido en el pasado.

Según Shadowserver, el paquete de datos de Rhadamanthys contiene información de computadoras comprometidas entre el 14/03/2025 y el 11/11/2025.

Como el malware no registraba una hora exacta para cada evento, los informes incluyen un intervalo aproximado de actividad (la primera y la última vez que esa computadora fue identificada como infectada). Esto significa que:

un mismo usuario puede haber sido infectado en más de un momento a lo largo de esos meses; la captura de contraseñas puede haber ocurrido más de una vez; el informe funciona como un aviso retroactivo, que permite a las víctimas tomar medidas incluso después de la caída de la infraestructura criminal.

Todos los eventos relacionados con esta operación se clasificaron como Severidad: CRÍTICA, dado el alto riesgo involucrado y el tipo de datos que el spyware podía capturar.

Esta información se compartió oficialmente con los CERT nacionales y con los proveedores responsables de redes y dominios, como hizo el CERT.br al notificar a Cademí, para permitir acciones rápidas de mitigación y comunicación con los usuarios afectados.