==============================================================================
  VEINTISIETE CAMPAÑAS DE FRAUDE EN UN MES: QUIÉN PUSO LA CARA
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/ola-suplantaciones-instituciones-chilenas-julio-2026
  Publicado:   2026-07-30  (hora de Chile)
  Ambito:      chile   ·   Criticidad: alta
  Descargado:  2026-10-12 07:10  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Consultas del resolver DNS corporativo, con el nombre completo consultado
  · Registros de proxy con la URL completa, no solo el dominio
  · Trazas del gateway de correo, incluidas las URL dentro de los mensajes
  · Telemetría de EDR con hash de los archivos descargados

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Dominios que imitan al Estado chileno
==============================================================================
  Requiere: Registros DNS del resolver corporativo, normalizados

title: Resolucion de dominios que imitan a instituciones chilenas
id: 5c1e77a4-9b2f-4d63-8e10-2a4f7c9d0e31
status: experimental
description: >
  Detecta consultas DNS y navegacion hacia dominios que imitan servicios del Estado
  de Chile usando el prefijo "gob-cl." u "org-cop." sobre TLD de bajo costo, patron
  observado en la alerta ACF26-01127 de la ANCI (julio 2026).
references:
  - https://www.anci.gob.cl/alertas/
author: Vantis Chile SpA
date: 2026/07/30
logsource:
  category: dns
detection:
  imitacion_estado:
    query|contains:
      - 'gob-cl.'
      - 'org-cop.'
  tld_de_bajo_costo:
    query|endswith:
      - '.cfd'
      - '.icu'
      - '.sbs'
      - '.lat'
      - '.xin'
      - '.mom'
  dominio_real:
    query|endswith:
      - '.gob.cl'
  condition: (imitacion_estado or tld_de_bajo_costo) and not dominio_real
falsepositives:
  - Algunos TLD nuevos tienen uso legitimo. Conviene alertar antes que bloquear hasta
    calibrar. El prefijo "gob-cl." en cambio casi no tiene uso legitimo posible.
level: high
tags:
  - attack.initial_access
  - attack.t1566.002

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Búsqueda retroactiva de 90 días en correo y navegación
==============================================================================
  Requiere: Defender for Office 365 (EmailUrlInfo) y Defender for Endpoint (DeviceNetworkEvents)

// Correos y navegacion hacia los dominios de la ola de julio de 2026
let dominios = dynamic(["gob-cl.cfd","gob-cl.icu","gob-cl.sbs","org-cop.lat","org-cop.xin",
                        "org-cop.mom","columbiacl.com","auth-pageskeyt212.sbs",
                        "ucm-cl.space","smi-ae.com"]);
union isfuzzy=true
 (EmailUrlInfo
    | where Timestamp > ago(90d)
    | where Url has_any (dominios)
    | project Timestamp, Origen="correo", Detalle=Url),
 (DeviceNetworkEvents
    | where Timestamp > ago(90d)
    | where RemoteUrl has_any (dominios)
    | project Timestamp, Origen="navegacion", Detalle=RemoteUrl)
| order by Timestamp desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Fórmula de imitación, sitio .cl comprometido y acortadores
==============================================================================
  Requiere: index=proxy o index=dns con los campos url, query, src_ip y user

index=proxy OR index=dns earliest=-90d
| eval destino = lower(coalesce(query, url))
| eval imita_estado = if(match(destino, "(gob-cl|org-cop)\\."), 1, 0)
| eval sitio_cl_comprometido = if(match(destino, "bioredox\\.cl/wp-content/"), 1, 0)
| eval acortador = if(match(destino, "tr\\.ee/"), 1, 0)
| where imita_estado=1 OR sitio_cl_comprometido=1 OR acortador=1
| stats count AS eventos, values(destino) AS destinos,
        min(_time) AS primer_evento, max(_time) AS ultimo_evento by src_ip, user
| convert ctime(primer_evento) ctime(ultimo_evento)
| sort - eventos

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla del prefijo gob-cl. es de ruido prácticamente nulo: no hay uso
  legítimo conocido. La de TLD nuevos (.cfd, .icu, .sbs) sí puede generarlo,
  porque algunos servicios legítimos los usan; conviene alertar en vez de
  bloquear hasta calibrar.

  Y lo más importante: no bloquees las IP 104.21.x ni 104.18.x. Son rangos
  de Cloudflare compartidos por millones de sitios legítimos. Que la ANCI
  las publique no significa que sean maliciosas: significa que el sitio
  fraudulento estaba detrás de Cloudflare, igual que casi todo.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================