============================================================================== CISA AGREGA SEIS FALLAS ACTIVAMENTE EXPLOTADAS DE PLEX, SIEMENS Y SITEGUARD ============================================================================== Fuente: https://www.vantis.cl/noticias/cisa-agrega-seis-fallas-explotadas-plex-siemens-siteguard Publicado: 2026-10-21 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-25 05:33 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Sysmon Event ID 1 y 3 (creación de procesos y conexiones de red) en endpoints Windows · Windows Security Event ID 4688 como alternativa si Sysmon no está disponible · Logs de proxy/firewall saliente del host donde corre Plex Media Server · Logs HTTP/WAF del servidor SiteGuard Server Edition, si aplica ============================================================================== REGLA 1 de 5 · SIGMA (canonica, neutral) Posible ejecución vía técnica ClickFix (explorer.exe origina powershell/mshta con comando de descarga) ============================================================================== Requiere: Sysmon configurado para registrar Event ID 1 con ParentImage y CommandLine completos title: Posible ejecucion ClickFix via Run dialog id: 7e3c9a1f-2b5d-4c8e-9a6f-1d8b4e7c2f90 status: experimental description: Detecta un patron habitual en campanas ClickFix donde explorer.exe (via dialogo Ejecutar) genera un proceso powershell/mshta/cmd con parametros de descarga y ejecucion ocultos. Vinculado a la explotacion reportada de CVE-2026-110936 (Siemens Software Center). references: - https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.html author: Vantis date: 2026-10-21 logsource: category: process_creation product: windows detection: selection_parent: ParentImage|endswith: '\\explorer.exe' selection_child: Image|endswith: - '\\powershell.exe' - '\\pwsh.exe' - '\\mshta.exe' - '\\cmd.exe' selection_cli: CommandLine|contains: - 'IEX' - 'Invoke-Expression' - 'DownloadString' - 'mshta http' - 'curl.exe' - '-w hidden' - '-windowstyle hidden' condition: selection_parent and selection_child and selection_cli falsepositives: - Scripts administrativos legitimos lanzados manualmente desde el dialogo Ejecutar - Instaladores de software que invocan powershell oculto por diseno level: medium ============================================================================== REGLA 2 de 5 · MICROSOFT SENTINEL - KQL ClickFix: PowerShell/mshta lanzado por explorer.exe (DeviceProcessEvents) ============================================================================== Requiere: Microsoft Defender for Endpoint con DeviceProcessEvents habilitado (tabla disponible en Microsoft 365 Defender / Sentinel vía conector MDE) DeviceProcessEvents | where InitiatingProcessFileName =~ "explorer.exe" | where FileName in~ ("powershell.exe","pwsh.exe","mshta.exe","cmd.exe") | where ProcessCommandLine has_any ("IEX","Invoke-Expression","DownloadString","mshta http","curl.exe","-w hidden","-windowstyle hidden") | project Timestamp, DeviceName, AccountName, InitiatingProcessFileName, FileName, ProcessCommandLine ============================================================================== REGLA 3 de 5 · SPLUNK - SPL ClickFix: proceso sospechoso con padre explorer.exe ============================================================================== Requiere: Sysmon indexado en Splunk (TA de Sysmon) con campos ParentImage y CommandLine extraídos index=sysmon OR index=endpoint EventCode=1 ParentImage="*\\explorer.exe" (Image="*\\powershell.exe" OR Image="*\\mshta.exe" OR Image="*\\cmd.exe") (CommandLine="*IEX*" OR CommandLine="*DownloadString*" OR CommandLine="*mshta http*" OR CommandLine="*-w hidden*" OR CommandLine="*-windowstyle hidden*") | table _time, host, User, ParentImage, Image, CommandLine ============================================================================== REGLA 4 de 5 · SIGMA (canonica, neutral) Solicitud saliente a endpoint de metadata/red interna desde host identificado como servidor Plex (posible explotación SSRF) ============================================================================== Requiere: Logs de proxy o firewall con el campo de URI/destino de la solicitud saliente, y un inventario que identifique qué hosts corren Plex Media Server title: Trafico saliente sospechoso desde host Plex hacia metadata o red interna id: a4d7f2c8-9e1b-4f6a-8c3d-5b7e9a0f2d41 status: experimental description: Busca solicitudes salientes desde un host etiquetado como servidor Plex Media Server hacia direcciones de metadata en la nube o rangos RFC1918 no esperados, consistente con explotacion de las SSRF CVE-2026-96652 / CVE-2026-96655. references: - https://www.cisa.gov/news-events/alerts/2026/10/20/cisa-adds-six-known-exploited-vulnerabilities-catalog author: Vantis date: 2026-10-21 logsource: category: proxy product: generic detection: selection: c-uri|contains: '169.254.169.254' condition: selection falsepositives: - Aplicaciones nativas de nube legitimas corriendo en el mismo host que consultan su propio endpoint de metadata level: medium ============================================================================== REGLA 5 de 5 · WAZUH / VERIFICACION EN HOST Regla local: tráfico desde host Plex hacia metadata/red interna ============================================================================== Requiere: Logs de proxy/firewall integrados a Wazuh vía el módulo de recolección correspondiente (por ejemplo, Squid o un firewall con syslog), y el host Plex identificado en el inventario de agentes 31108 169.254.169.254 Posible SSRF: host etiquetado como servidor Plex consultando endpoint de metadata en la nube T1190 ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla de ClickFix puede dispararse con instaladores legítimos y scripts administrativos que lanzan PowerShell oculto desde el Explorador; conviene afinarla con una lista de aplicaciones conocidas del entorno antes de ponerla en modo de bloqueo. La regla de SSRF hacia metadata puede generar ruido en entornos cloud-native donde el mismo host ejecuta otras aplicaciones que sí consultan metadata legítimamente; de ahí la importancia de aislar el host de Plex en su propia instancia o contenedor. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================