==============================================================================
  GOOGLE DESMANTELA BOTNET XCPE OPERADO POR EL PROPIO FABRICANTE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/xcpe-botnet-fabricante-videostrong-cadena-suministro
  Publicado:   2026-11-04  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-11-04 20:57  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de resolución DNS (resolver corporativo o DNS de seguridad)
  · Logs de firewall/NGFW o proxy con visibilidad de puertos de destino no estándar
  · NetFlow/IPFIX de los segmentos donde operan dispositivos IoT/Android
  · Telemetría de red de EDR o NDR, si el sensor cubre el segmento donde está el dispositivo IoT

==============================================================================
  REGLA 1 de 4   ·   SIGMA (canonica, neutral)
  Resolución DNS al dominio de C2 de XCPE (szbboys.com)
==============================================================================
  Requiere: Logs de consultas DNS centralizados (resolver corporativo, DNS de seguridad o sensor de red tipo Zeek)

title: Resolución DNS al dominio de C2 de XCPE (szbboys.com)
id: a3f1c2d4-8b6e-4c91-9f3a-1e7d5b2c8a90
status: experimental
description: Detecta consultas DNS al dominio de C2 szbboys[.]com y sus subdominios, asociado al backdoor XCPE identificado por GTIG en noviembre de 2026.
author: Vantis
date: 2026-11-04
logsource:
    category: dns
detection:
    selection:
        query|contains: 'szbboys.com'
    condition: selection
falsepositives:
    - Ninguno conocido; es infraestructura de C2 dedicada
level: high

==============================================================================
  REGLA 2 de 4   ·   MICROSOFT SENTINEL - KQL
  Tráfico hacia infraestructura de XCPE (dominio o puertos MQTT no estándar)
==============================================================================
  Requiere: Tabla DeviceNetworkEvents de Microsoft Defender for Endpoint/Sentinel; en dispositivos IoT sin agente, aplicar la lógica equivalente sobre los logs del NGFW que les da salida a internet

DeviceNetworkEvents
| where RemoteUrl has "szbboys.com"
   or (RemotePort in (3885, 3886, 3887) and Protocol == "Tcp")
| project Timestamp, DeviceName, RemoteIP, RemoteUrl, RemotePort, InitiatingProcessFileName

==============================================================================
  REGLA 3 de 4   ·   SPLUNK - SPL
  Tráfico hacia infraestructura de XCPE en firewall/proxy
==============================================================================
  Requiere: index=firewall o index=proxy con logs de NGFW/proxy que registren IP, puerto destino y URL/SNI

index=firewall OR index=proxy (dest_port IN (3885,3886,3887) OR url="*szbboys.com*")
| table _time, src_ip, dest_ip, dest_port, url

==============================================================================
  REGLA 4 de 4   ·   WAZUH / VERIFICACION EN HOST
  Alerta sobre tráfico a C2 de XCPE desde logs de firewall
==============================================================================
  Requiere: Decoder de Wazuh configurado para el firewall/proxy que entrega los logs (ajustar if_sid al decoder real usado en el entorno)

<rule id="100301" level="12">
  <if_sid>fw_decoder_id</if_sid> <!-- ajustar al ID del decoder de firewall/proxy en uso -->
  <match>szbboys.com</match>
  <description>Posible comunicacion con C2 de XCPE (dominio szbboys.com)</description>
  <group>xcpe,supply_chain,botnet,</group>
</rule>
<rule id="100302" level="12">
  <if_sid>fw_decoder_id</if_sid>
  <field name="dstport">^(3885|3886|3887)$</field>
  <description>Trafico TCP a puertos MQTT no estandar usados por XCPE (3885-3887)</description>
  <group>xcpe,supply_chain,botnet,</group>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Los puertos TCP 3885-3887 no corresponden a un rango reservado de uso
  corporativo frecuente, pero si el segmento IoT tiene otros dispositivos
  MQTT legítimos (domótica, sensores industriales), una coincidencia solo
  por puerto debería priorizarse para revisión manual antes de bloquear en
  bloque. La coincidencia por dominio (szbboys.com) tiene baja probabilidad
  de falso positivo porque GTIG lo identifica como infraestructura dedicada
  de C2; aun así, conviene confirmar con un segundo indicador (puerto o
  patrón de POST a /router/config/*) antes de escalarlo a un bloqueo
  permanente, por si el dominio cambia de dueño en el futuro.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================