============================================================================== AGENTE AUTÓNOMO SKYNET SECUESTRA MODELOS DE IA EXPUESTOS PARA ATACAR ============================================================================== Fuente: https://www.vantis.cl/noticias/skynet-llmjacking-agentes-autonomos-modelos-ia-expuestos Publicado: 2026-10-25 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-25 18:57 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de proxy/firewall de salida (egress) con campo de dominio/IP destino · DNS logs o Zeek conn.log / dns.log · Logs de inferencia de servidores Ollama y gateways de IA (solicitudes, cuerpo de prompts si está permitido retenerlo) · DeviceNetworkEvents (Microsoft Defender for Endpoint / Sentinel) · EDR/Sysmon en hosts que ejecutan frameworks de desarrollo expuestos (Jupyter, VS Code Server, Django, Laravel, Supabase, Next.js, Flask/Werkzeug) ============================================================================== REGLA 1 de 5 · SIGMA (canonica, neutral) Conexión saliente a pools de minería asociados a la campaña Skynet/VAPT ============================================================================== Requiere: Logs DNS con campo de consulta (query) accesible, p. ej. Zeek dns.log o resolución DNS corporativa centralizada title: Conexión saliente a pools de minería asociados a Skynet id: d4f1a9c3-7b2e-4f6a-9d1c-3e8b5a2f7c91 status: experimental description: Detecta resoluciones DNS o conexiones salientes a dominios de pools de minería observados en la infraestructura del agente Skynet (Symantec, oct. 2026) references: - https://labs.cloudsecurityalliance.org/research/csa-research-note-llmjacking-autonomous-attack-agent-2026102/ logsource: category: dns level: high detection: selection: query|contains: - 'mine.c3pool.com' - 'auto.c3pool.org' - 'auto.skypool.xyz' condition: selection fields: - query - answer - src_ip tags: - attack.impact - attack.t1496 ============================================================================== REGLA 2 de 5 · MICROSOFT SENTINEL - KQL Tráfico de red hacia dominios/IP de minería asociados a Skynet ============================================================================== Requiere: Tabla DeviceNetworkEvents (Microsoft Defender for Endpoint, disponible en bundles E5 con Sentinel) DeviceNetworkEvents | where RemoteUrl has_any ("mine.c3pool.com", "auto.c3pool.org", "auto.skypool.xyz") or RemoteIP == "86.216.147.228" | project Timestamp, DeviceName, InitiatingProcessFileName, RemoteUrl, RemoteIP, RemotePort ============================================================================== REGLA 3 de 5 · SPLUNK - SPL Tráfico de proxy/firewall hacia dominios de minería asociados a Skynet ============================================================================== Requiere: index=proxy o index=firewall con campos normalizados tipo CIM Network Traffic (dest_host, dest_ip, dest_port) index=proxy OR index=firewall (dest_host="mine.c3pool.com" OR dest_host="auto.c3pool.org" OR dest_host="auto.skypool.xyz" OR dest_ip="86.216.147.228") | stats count min(_time) as primera_vez max(_time) as ultima_vez by src_ip, dest_host, dest_port | convert ctime(primera_vez) ctime(ultima_vez) ============================================================================== REGLA 4 de 5 · SIGMA (canonica, neutral) Acceso sin autenticar a API tipo Ollama expuesta a internet ============================================================================== Requiere: Logs de proxy inverso o WAF frente al servidor de modelos, con campos de URI, método, estado y cabecera de autorización title: Acceso no autenticado a API de inferencia tipo Ollama id: 5c9e2a84-6f3d-4b71-9a2e-8d4f6c1b9e37 status: experimental description: Detecta solicitudes POST exitosas al endpoint de generación de un servidor tipo Ollama sin cabecera de autorización; señal de exposición, no de ataque confirmado logsource: category: proxy level: medium detection: selection: c-uri|contains: '/api/generate' cs-method: 'POST' sc-status: 200 filter_auth: cs-Authorization|exists: true condition: selection and not filter_auth ============================================================================== REGLA 5 de 5 · WAZUH / VERIFICACION EN HOST Servicio tipo Ollama escuchando en todas las interfaces de red ============================================================================== Requiere: Wazuh agent con módulo de inventario de puertos (syscollector) o ingesta programada de salida de netstat/ss en los hosts monitoreados 530 0.0.0.0:11434 Servicio en puerto 11434 (Ollama) expuesto en todas las interfaces de red: posible endpoint de IA sin autenticación ollama,exposed_ai,api_server ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== Los dominios de pools de minería y la IP listada pueden ser reutilizados por operaciones de cryptojacking sin relación con Skynet; además, mineros legítimos de criptomonedas en equipos personales podrían generar coincidencias. La regla de acceso no autenticado a /api/generate disparará contra cualquier despliegue interno de Ollama en un segmento de red que la organización considera de confianza y que deliberadamente no exige autenticación (por ejemplo, un laboratorio aislado sin salida a internet); hay que acotar el alcance de la regla al segmento expuesto a internet o zonas no confiables antes de activarla en modo de alerta. Symantec y CSA advierten explícitamente que los indicadores atómicos (dominios, IP) rotan con facilidad; las señales de comportamiento —sesiones de inferencia largas, catálogos de herramientas en el prompt, exposición sin autenticación— son más durables que estos indicadores puntuales. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================