==============================================================================
  CISA CONFIRMA EXPLOTACIÓN ACTIVA DE FALLA CRÍTICA EN BEYONDTRUST
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/beyondtrust-remote-support-cve-2026-102764-kev
  Publicado:   2026-10-19  (hora de Chile)
  Ambito:      global   ·   Criticidad: critica
  Descargado:  2026-10-25 04:52  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de auditoría del appliance BeyondTrust Remote Support (inicio de sesión administrativa, cambios de configuración, creación de cuentas)
  · Logs de firewall/proxy perimetral que exponen o protegen la consola del appliance
  · EDR/XDR en los endpoints que reciben sesiones de soporte remoto desde el appliance
  · Logs del proveedor de identidad (IdP) si la autenticación al appliance está federada vía SSO

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Sesión administrativa en BeyondTrust Remote Support sin desafío MFA previo
==============================================================================
  Requiere: Logs de auditoría del appliance BeyondTrust Remote Support reenviados al SIEM, con eventos de inicio de sesión y de desafío MFA diferenciados por tipo de evento.

title: Sesion administrativa BeyondTrust sin MFA previo
id: 3b9f2a1d-6c4e-4f82-9a71-8e2d5b6c9f04
status: experimental
description: Detecta la creacion de una sesion con privilegios administrativos en la consola de BeyondTrust Remote Support que no esta precedida por un evento de desafio MFA en la ventana esperada, patron conductual consistente con un posible bypass de autenticacion relacionado a CVE-2026-102764. Requiere que el appliance envie su log de auditoria al SIEM con eventos de sesion y de MFA diferenciados.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/16/cisa-urges-patching-critical-vulnerability-beyondtrust-remote-support
  - https://www.beyondtrust.com/trust-center/security-advisories/bt26-05
author: Vantis
date: 2026-10-20
logsource:
  product: beyondtrust
  service: remote-support-audit
detection:
  admin_session:
    EventType: 'AdminSessionStart'
  mfa_challenge:
    EventType: 'MFAChallengeIssued'
  condition: admin_session and not mfa_challenge
fields:
  - SourceIP
  - AccountName
  - SessionId
falsepositives:
  - Integraciones SSO legitimas que delegan el desafio MFA a un IdP externo y no generan el evento MFAChallengeIssued localmente en el appliance
  - Cuentas de servicio con excepcion de MFA aprobada formalmente
level: high

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Sesiones administrativas BeyondTrust sin MFA correlacionado
==============================================================================
  Requiere: Índice beyondtrust con sourcetype bt_remote_support_audit poblado desde el forwarder de logs del appliance.

index=beyondtrust sourcetype=bt_remote_support_audit EventType="AdminSessionStart"
| join type=left SessionId
    [ search index=beyondtrust sourcetype=bt_remote_support_audit EventType="MFAChallengeIssued"
      | rename SessionId as mfa_SessionId ]
| where isnull(mfa_SessionId)
| table _time, SourceIP, AccountName, SessionId

==============================================================================
  REGLA 3 de 3   ·   MICROSOFT SENTINEL - KQL
  Sesiones administrativas anómalas en appliance de soporte remoto (CommonSecurityLog)
==============================================================================
  Requiere: Logs del appliance BeyondTrust reenviados vía CEF/syslog hacia la tabla CommonSecurityLog, con DeviceVendor=BeyondTrust configurado en el conector.

CommonSecurityLog
| where DeviceVendor == "BeyondTrust" and Activity == "AdminSessionStart"
| join kind=leftouter (
    CommonSecurityLog
    | where DeviceVendor == "BeyondTrust" and Activity == "MFAChallengeIssued"
    | project SessionId_mfa = DeviceCustomString1
) on $left.DeviceCustomString1 == $right.SessionId_mfa
| where isempty(SessionId_mfa)
| project TimeGenerated, SourceIP, DestinationUserName, DeviceCustomString1

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  No existen IOCs públicos (IPs, hashes, dominios) asociados a esta campaña
  al momento de publicar; cualquier regla basada en indicadores sería
  ficticia. Las reglas aquí son conductuales y experimentales: dependen de
  que el appliance distinga eventos de sesión administrativa y de desafío
  MFA en su log de auditoría. Entornos con SSO federado que delega el MFA a
  un IdP externo (Okta, Azure AD) pueden no generar el evento de MFA
  localmente, generando falsos positivos sistemáticos — hay que validar
  contra el modelo de autenticación real antes de poner la regla en modo de
  alerta activa.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================