==============================================================================
  CISA SUMA FALLA CRÍTICA DE APPLE A SU CATÁLOGO DE EXPLOTACIÓN ACTIVA
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cve-2026-86950-apple-kev-explotacion-activa
  Publicado:   2026-10-07  (hora de Chile)
  Ambito:      chile   ·   Criticidad: alta
  Descargado:  2026-10-12 06:25  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Telemetría EDR en macOS con eventos de creación de procesos (Microsoft Defender for Endpoint for Mac, CrowdStrike Falcon for Mac, Jamf Protect)
  · Estado de versión de SO por dispositivo desde el MDM (Jamf, Intune, Kandji)
  · Reportes de fallos (crash reports / ReportCrash) centralizados, si la organización los recolecta

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Proceso inesperado generado por renderizador de PDF/imagen en macOS (posible explotación CVE-2026-86950)
==============================================================================
  Requiere: EndpointSecurity Framework (ESF) habilitado y telemetría de creación de procesos de macOS ingresando al SIEM/EDR

title: Proceso sospechoso lanzado por renderizador de PDF/imagen en macOS
id: a3f5c9e2-7b1d-4e6a-9c3f-2d8b5e1a9f47
status: experimental
description: Detecta procesos hijos inusuales generados por componentes de renderizado de CoreGraphics/Quick Look/visores de PDF en macOS, consistente con explotación de CVE-2026-86950 (Apple, out-of-bounds write, en catálogo KEV de CISA). No existen IOCs públicos; esta regla es conductual y debe calibrarse contra tráfico propio antes de pasar a producción.
references:
  - https://www.cisa.gov/news-events/alerts/2026/09/29/cisa-adds-one-known-exploited-vulnerability-catalog
  - https://isc.sans.edu/diary/rss/33376
author: Vantis
date: 2026-10-06
logsource:
  product: macos
  category: process_creation
detection:
  selection_parent:
    ParentImage|endswith:
      - '/quicklookd'
      - '/QuickLookUIService'
      - '/Preview.app/Contents/MacOS/Preview'
      - '/WhatsApp.app/Contents/MacOS/WhatsApp'
  selection_child:
    Image|endswith:
      - '/sh'
      - '/bash'
      - '/zsh'
      - '/osascript'
      - '/curl'
      - '/launchctl'
  condition: selection_parent and selection_child
falsepositives:
  - Automatizaciones legítimas con AppleScript que invocan Preview o Quick Look
  - Flujos de QA que abren PDFs mediante scripts internos
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Hijos inusuales de procesos de renderizado en macOS (MDE for Mac)
==============================================================================
  Requiere: Microsoft Defender for Endpoint habilitado en macOS (plan E5), tabla DeviceProcessEvents con ingesta activa

DeviceProcessEvents
| where DeviceOs == "macOS"
| where InitiatingProcessFileName in~ ("quicklookd","QuickLookUIService","Preview","WhatsApp")
| where FileName in~ ("sh","bash","zsh","osascript","curl","launchctl")
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, AccountName

==============================================================================
  REGLA 3 de 3   ·   CROWDSTRIKE FALCON
  Hijos inusuales de procesos de renderizado en macOS (Falcon for Mac)
==============================================================================
  Requiere: Sensor de Falcon desplegado en la flota macOS con ProcessRollup2 habilitado

event_platform=Mac event_simpleName=ProcessRollup2
| search ParentBaseFileName IN ("quicklookd", "QuickLookUIService", "Preview", "WhatsApp")
| search FileName IN ("sh", "bash", "zsh", "osascript", "curl", "launchctl")
| table _time ComputerName ParentBaseFileName FileName CommandLine UserName

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Esta detección es conductual, no basada en firmas: busca un patrón de
  proceso padre/hijo poco común, no el exploit en sí. Puede disparar con
  automatizaciones legítimas de AppleScript, flujos de QA que abren
  documentos por script, o herramientas internas de generación de reportes
  en PDF. Antes de pasar a modo de bloqueo, córrala en modo de solo alerta
  durante al menos dos semanas para construir una lista de exclusión de
  procesos propios de la organización.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================