El ataque con IA agéntica no trae técnicas nuevas: trae escala

RTCore64.sys
DBUtil_2_3.sys
Google Chrome Start

title: Reconocimiento automatizado a gran escala contra la superficie expuesta
id: 1c7e4b93-8a26-4f51-9d38-2b6c0e5a7f14
status: experimental
description: >
  UC-01. No busca "IA": busca el comportamiento que la automatizacion produce.
  Una misma IP tocando muchos hosts, muchos puertos y muchas URLs, con alta tasa
  de 404 y 403, en poco tiempo. Es la primera etapa de la cadena agentica.
references:
  - https://labs.cloudsecurityalliance.org/research/
author: Vantis Chile SpA
date: 2026/08/27
logsource:
  category: webserver
detection:
  peticion:
    cs-method|expand: '%metodos%'
  respuesta_de_descarte:
    sc-status:
      - 403
      - 404
      - 405
  condition: peticion and respuesta_de_descarte | count(cs-uri-stem) by c-ip > 200
timeframe: 10m
falsepositives:
  - Rastreadores de buscadores legitimos. Filtrar por ASN y por user agent verificado
    mediante DNS inverso, no solo por la cadena declarada.
  - Escaneos de seguridad propios. Deben estar inventariados con IP de origen conocida.
level: medium
tags:
  - attack.reconnaissance
  - attack.t1595.002

title: Carga de driver vulnerable conocido (BYOVD)
id: 3a8f1d62-5c94-4e07-b2a6-9f4e7c1b8035
status: stable
description: >
  UC-05. La CSA documento el uso de RTCore64.sys y DBUtil_2_3.sys para desactivar
  callbacks de EDR de forma quirurgica. Un driver firmado pero vulnerable es una
  llave legitima: el sistema lo acepta porque la firma es valida.
references:
  - https://labs.cloudsecurityalliance.org/research/
author: Vantis Chile SpA
date: 2026/08/27
logsource:
  product: windows
  category: driver_load
detection:
  drivers_conocidos:
    ImageLoaded|endswith:
      - '\RTCore64.sys'
      - '\DBUtil_2_3.sys'
      - '\dbutil_2_3.sys'
      - '\gdrv.sys'
      - '\iqvw64e.sys'
  ruta_sospechosa:
    ImageLoaded|contains:
      - '\Users\'
      - '\Temp\'
      - '\ProgramData\'
  condition: drivers_conocidos or (ruta_sospechosa and ImageLoaded|endswith: '.sys')
falsepositives:
  - Herramientas legitimas de monitoreo de hardware pueden cargar RTCore64.sys.
    Si existen en el parque, deben estar inventariadas por equipo, no ignoradas.
level: critical
tags:
  - attack.defense_evasion
  - attack.t1068
  - attack.t1562.001

index=edr OR index=windows earliest=-30d
| eval proc = lower(process_name), padre = lower(parent_process_name)
| eval cmd = lower(coalesce(process, command_line))
``` UC-03: servidor web engendrando una shell ```
| eval web_a_shell = if(match(padre, "(w3wp|httpd|nginx|apache2|tomcat|php-fpm)")
                        AND match(proc, "(powershell|cmd|bash|sh|wscript|cscript)"), 1, 0)
``` UC-06: exclusion agregada al antivirus ```
| eval exclusion = if(match(cmd, "(add-mppreference|set-mppreference).*exclusion"), 1, 0)
``` UC-04: proceso inesperado hablando hacia afuera ```
| eval salida_rara = if(match(padre, "(w3wp|httpd|nginx)") AND isnotnull(dest_ip)
                        AND NOT cidrmatch("10.0.0.0/8", dest_ip), 1, 0)
| where web_a_shell=1 OR exclusion=1 OR salida_rara=1
| eval senal = case(web_a_shell=1, "UC-03 web a shell",
                    exclusion=1,   "UC-06 exclusion de Defender",
                    salida_rara=1, "UC-04 web a C2")
| stats count AS eventos, values(senal) AS senales, values(cmd) AS comandos,
        min(_time) AS primero, max(_time) AS ultimo by host, user
| convert ctime(primero) ctime(ultimo)
``` La cadena completa vale mucho mas que cualquier senal suelta ```
| eval etapas = mvcount(senales)
| sort - etapas, - eventos

// UC-07. En Linux no basta con vigilar el hooking clasico de la tabla de syscalls.
// El rootkit descrito por la CSA usa ftrace para ocultar procesos y conexiones.
// Esta consulta compara la tabla viva de hooks contra una linea base conocida.
DeviceFileEvents
| where Timestamp > ago(30d)
| where DeviceName in ((DeviceInfo | where OSPlatform == "Linux" | distinct DeviceName))
| where FolderPath has_any ("/sys/kernel/debug/tracing", "/proc/sys/kernel/ftrace_enabled",
                            "/lib/modules", "/etc/modules-load.d")
| where ActionType in ("FileCreated", "FileModified")
| project Timestamp, DeviceName, FolderPath, FileName,
          InitiatingProcessFileName, InitiatingProcessAccountName
| order by Timestamp desc

// Complemento en el propio host, para comparar contra linea base:
//   cat /sys/kernel/debug/tracing/enabled_functions
//   lsmod | sort
// Guardar el resultado tras una instalacion limpia y comparar periodicamente.