============================================================================== TRES PLATAFORMAS DE IA FILTRAN CREDENCIALES EN ATAQUES ENCADENADOS ============================================================================== Fuente: https://www.vantis.cl/noticias/ataques-cadena-plataformas-roban-credenciales-ia Publicado: 2026-10-23 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-25 05:41 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Eventos de archivo (FIM/EDR) en hosts Linux que ejecutan o ejecutaron LiteLLM self-hosted · Logs de uso y facturación de proveedores de IA (OpenAI, Anthropic, Google, Fireworks AI) exportados hacia el SIEM · Registros de acceso y auditoría de consolas y paneles de plataformas PaaS (Railway, OpenCode Console) · Logs de proxy/egress para tráfico saliente desde hosts que corrieron paquetes Python o imágenes Docker de LiteLLM ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) Posible uso anómalo de credencial de IA tras incidente de plataforma custodia (conductual) ============================================================================== Requiere: Exportacion de logs de uso/facturacion del proveedor de IA (OpenAI, Anthropic, Google, Fireworks AI) hacia un SIEM o bodega de datos donde se pueda calcular una linea base de consumo por api_key_id. Sin esa linea base, la regla no es operativa. title: Uso anómalo de API key de proveedor de IA posterior a exposición en plataforma custodia id: 2b6e4d91-8a3c-4f17-b5e2-9d4a7c1f6e08 status: experimental description: | Deteccion conductual, no basada en firma. No existen IOCs de red ni hashes publicos para el robo de credenciales en Fireworks AI, OpenCode o Railway; esta regla busca el efecto posterior -uso anomalo de una llave de proveedor de IA- en logs de uso/facturacion exportados al SIEM. Debe ajustarse a la linea base de consumo normal de cada organizacion antes de ponerse en modo de alerta activa. references: - https://labs.cloudsecurityalliance.org/research/csa-research-note-inference-provider-platform-chain-campaign/ author: Vantis date: 2026-10-23 logsource: category: application product: ai_provider_usage_logs detection: selection_volumen: EventType: 'api_request' timeframe: 1h condition: selection_volumen | count() by api_key_id > valor_linea_base_x3 falsepositives: - Picos legitimos de uso por despliegues nuevos, pruebas de carga o campanias de producto. - Cambios de region por uso de CDN o balanceo geografico legitimo del cliente. level: medium ============================================================================== REGLA 2 de 4 · SIGMA (canonica, neutral) Artefactos de archivo del paquete LiteLLM 1.107.0 troyanizado ============================================================================== Requiere: Telemetria de creacion de archivos (auditd, EDR con captura de file_event, o Sysmon-for-Linux) en hosts que ejecutan o ejecutaron LiteLLM. title: Indicadores de archivo de LiteLLM 1.107.0 troyanizado id: 7f3a9c2e-4b61-4f8d-9a2e-6c1d8f0b3e55 status: experimental description: | Detecta artefactos de archivo reportados para la version maliciosa 1.107.0 de LiteLLM (infostealer + RAT via sitecustomize.py). Es deteccion conductual de efecto en disco, no de firma de red; no hay IP ni dominio de C2 publicados al momento de esta nota. references: - https://www.theregister.com/2026/10/21/litellm_supply_chain_attack/ author: Vantis date: 2026-10-23 logsource: category: file_event product: linux detection: selection: TargetFilename|contains: - '/tmp/.pc_once_' - '/tmp/remote_code_loader.lock' condition: selection falsepositives: - Baja probabilidad; los nombres son distintivos y no corresponden a convenciones de archivos temporales habituales del sistema. level: high ============================================================================== REGLA 3 de 4 · MICROSOFT SENTINEL - KQL Artefactos de LiteLLM 1.107.0 en DeviceFileEvents ============================================================================== Requiere: Microsoft Defender for Endpoint en hosts Linux con DeviceFileEvents habilitado en Advanced Hunting (plan compatible con MDE for Linux). DeviceFileEvents | where FolderPath startswith "/tmp/" | where FileName startswith ".pc_once_" or FileName =~ "remote_code_loader.lock" | project Timestamp, DeviceName, FileName, FolderPath, InitiatingProcessFileName, InitiatingProcessCommandLine, InitiatingProcessAccountName ============================================================================== REGLA 4 de 4 · WAZUH / VERIFICACION EN HOST FIM: artefactos de LiteLLM 1.107.0 en /tmp ============================================================================== Requiere: Wazuh con modulo syscheck (FIM) configurado para monitorear el directorio /tmp en los hosts que corren o corrieron LiteLLM. 550 /tmp/(\.pc_once_.*|remote_code_loader\.lock) Posible artefacto del paquete malicioso LiteLLM 1.107.0 detectado por FIM T1195.002 supply_chain,litellm, ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla de artefactos de archivo tiene baja probabilidad de falso positivo porque los nombres (.pc_once_*, remote_code_loader.lock) no corresponden a convenciones habituales de temporales del sistema; aun así conviene validar manualmente la primera alerta antes de automatizar la respuesta. La regla de uso anómalo de API key es puramente conductual y requiere calibración contra la línea base real de cada organización antes de usarse en modo de bloqueo o alerta de alta prioridad: picos legítimos de adopción de un producto nuevo pueden dispararla. No existe, al momento de esta nota, un hash público de los módulos del infostealer ni indicadores de red (dominios o IP de C2) publicados por The Register ni por CSA Labs, por lo que la detección de red queda fuera de alcance hasta que aparezcan más indicadores. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================