==============================================================================
  DOS RECLAMOS EN 48 HORAS CONTRA ARGENTINA, Y POR QUÉ A CHILE LE IMPORTA
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/ransomware-infraestructura-critica-argentina-julio-2026
  Publicado:   2026-07-25  (hora de Chile)
  Ambito:      latam   ·   Criticidad: alta
  Descargado:  2026-10-12 07:01  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Telemetría de EDR con creación de procesos y línea de comandos completa
  · Registros de red con volumen de bytes salientes por equipo y por hora
  · Registros de autenticación de VPN y de accesos remotos, incluidos los de proveedores
  · Eventos de servicio y de seguridad de Windows, para desactivación de agentes

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Preparación de cifrado: borrado de copias y bloqueo de recuperación
==============================================================================
  Requiere: Registro de creación de procesos con línea de comandos (Sysmon evento 1 o EDR)

title: Preparacion de cifrado masivo por ransomware
id: 4f2a8c19-3d75-4e61-b8a3-9c1e5f7d2064
status: stable
description: >
  No busca el cifrado, que ya es tarde, sino los minutos previos: borrado de copias de
  seguridad y desactivacion de la recuperacion del sistema. Es la ultima ventana util
  de contencion y suele preceder al cifrado en menos de una hora.
author: Vantis Chile SpA
date: 2026/07/25
logsource:
  category: process_creation
  product: windows
detection:
  borrado_de_copias:
    Image|endswith:
      - '\vssadmin.exe'
      - '\wmic.exe'
      - '\wbadmin.exe'
    CommandLine|contains:
      - 'delete shadows'
      - 'shadowcopy delete'
      - 'delete catalog'
  desactivar_recuperacion:
    Image|endswith: '\bcdedit.exe'
    CommandLine|contains:
      - 'recoveryenabled no'
      - 'bootstatuspolicy ignoreallfailures'
  detener_respaldo:
    Image|endswith: '\net.exe'
    CommandLine|contains:
      - 'stop backup'
      - 'stop veeam'
      - 'stop sql'
  condition: borrado_de_copias or desactivar_recuperacion or detener_respaldo
falsepositives:
  - Tareas de mantenimiento de respaldo mal disenadas. Deberian estar inventariadas;
    si no lo estan, ese es el primer hallazgo del ejercicio.
level: critical
tags:
  - attack.impact
  - attack.t1490
  - attack.t1486

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Exfiltración previa al cifrado hacia servicios de almacenamiento
==============================================================================
  Requiere: Defender for Endpoint con DeviceNetworkEvents

// Exfiltracion previa al cifrado: subidas anomalas hacia destinos de almacenamiento
let ventana = 30d;
let umbral_mb = 500;
DeviceNetworkEvents
| where Timestamp > ago(ventana)
| where RemoteUrl has_any ("mega.nz","anonfiles","gofile.io","transfer.sh","temp.sh",
                           "filemail","wetransfer","pcloud","dropbox","mediafire")
   or RemotePort in (21, 22, 445)
| join kind=inner (
    DeviceNetworkEvents
    | where Timestamp > ago(ventana)
    | summarize BytesSalida = sum(todouble(coalesce(column_ifexists("BytesSent", 0), 0)))
            by DeviceName, bin(Timestamp, 1h)
    | where BytesSalida > umbral_mb * 1024 * 1024
  ) on DeviceName
| project Timestamp, DeviceName, RemoteUrl, RemoteIP, RemotePort,
          InitiatingProcessFileName, InitiatingProcessAccountName
| order by Timestamp desc

==============================================================================
  REGLA 3 de 3   ·   SPLUNK - SPL
  Living off the land, desactivación de defensas y cuentas nuevas
==============================================================================
  Requiere: index=edr o index=windows con nombre de proceso y línea de comandos

index=edr OR index=windows earliest=-30d
| eval proc = lower(process_name)
| eval lolbin = if(match(proc, "(psexec|anydesk|teamviewer|rclone|winscp|megasync|advanced_ip_scanner)"), 1, 0)
| eval defensa = if(match(lower(process), "(sc stop|net stop|taskkill).*(defender|sophos|crowdstrike|sentinel|carbon)"), 1, 0)
| eval cuenta_nueva = if(match(lower(process), "net user .* /add"), 1, 0)
| where lolbin=1 OR defensa=1 OR cuenta_nueva=1
| stats count AS eventos, values(proc) AS procesos, values(user) AS cuentas,
        min(_time) AS primero, max(_time) AS ultimo by host
| convert ctime(primero) ctime(ultimo)
| where eventos > 2
| sort - eventos

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla de borrado de copias puede activarse con tareas de mantenimiento
  de respaldo mal diseñadas. Deberían estar inventariadas; si no lo están,
  ese es el primer hallazgo del ejercicio, antes que cualquier ransomware.

  La de herramientas de administración remota va a marcar el trabajo
  legítimo de soporte. El objetivo no es bloquearlas sino que su uso sea
  atribuible: si nadie puede decir quién ejecutó PsExec anoche, la
  herramienta no es el problema.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================