==============================================================================
  EXPLOIT PÚBLICO PARA ANYDESK LINUX OTORGA ACCESO ROOT SIN AUTENTICACIÓN
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/anydesk-linux-anypwn-exploit-publico-root
  Publicado:   2026-10-11  (hora de Chile)
  Ambito:      global   ·   Criticidad: critica
  Descargado:  2026-10-12 05:37  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · auditd en hosts Linux con AnyDesk instalado (eventos execve, relaciones padre-hijo de procesos)
  · logs de firewall/perímetro para tráfico entrante hacia TCP/7070
  · EDR con visibilidad de Linux (procesos, usuario efectivo, línea de comandos)
  · logs del propio servicio AnyDesk (ad_svc), incluyendo eventos de crash y reinicio

==============================================================================
  REGLA 1 de 4   ·   SIGMA (canonica, neutral)
  Posible explotación AnyPwn: proceso hijo inesperado desde el servicio AnyDesk ejecutando como root (Linux)
==============================================================================
  Requiere: Host Linux con auditd habilitado y agente que capture eventos process_creation con relación padre-hijo (por ejemplo Wazuh, Elastic Agent o un EDR con soporte Linux).

title: Posible explotacion AnyPwn - proceso hijo inesperado desde AnyDesk como root
id: a47e1c3b-6f2d-4e81-9c3a-7b5d2f814e6a
status: experimental
description: Detecta procesos hijos no habituales generados por el servicio AnyDesk corriendo como root en Linux, consistente con explotacion exitosa de AnyPwn (desbordamiento de heap en el handler de paquetes mode-5).
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-anydesk-anypwn-silent-patch-exploit-202610/
author: Vantis
date: 2026-10-11
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    ParentCommandLine|contains: 'anydesk'
  selection_root:
    User: 'root'
  filter_known:
    CommandLine|contains:
      - '/usr/bin/anydesk'
      - '--service'
  condition: selection_parent and selection_root and not filter_known
falsepositives:
  - Actualizaciones legitimas del servicio AnyDesk
  - Scripts de administracion/MSP que invocan utilidades auxiliares con privilegios
level: high
tags:
  - attack.initial_access
  - attack.t1190

==============================================================================
  REGLA 2 de 4   ·   WAZUH / VERIFICACION EN HOST
  Proceso hijo root inesperado desde AnyDesk (Wazuh/auditd)
==============================================================================
  Requiere: Agente Wazuh con el módulo auditd activo en el host Linux y reglas de auditoría que registren execve con información de proceso padre.

<rule id="100210" level="12">
  <if_group>audit_command</if_group>
  <field name="audit.exe" negate="yes">/usr/bin/anydesk</field>
  <field name="audit.ppid.comm">anydesk</field>
  <field name="audit.uid">0</field>
  <description>Posible explotacion AnyPwn: proceso hijo inesperado desde AnyDesk ejecutando como root</description>
  <group>anydesk,anypwn,t1190,initial_access</group>
</rule>

==============================================================================
  REGLA 3 de 4   ·   SPLUNK - SPL
  AnyPwn: hijo inesperado de proceso AnyDesk root
==============================================================================
  Requiere: Índice con eventos de ejecución de procesos Linux (auditd vía Splunk UF o EDR) incluyendo campos ParentProcessName, ProcessName, CommandLine y User.

index=linux_auditd OR index=edr_linux sourcetype="linux:audit"
| search ParentProcessName="*anydesk*" User="root"
| regex CommandLine!="(?i)(/usr/bin/anydesk|anydesk --service)"
| table _time host ParentProcessName ProcessName CommandLine User
| sort - _time

==============================================================================
  REGLA 4 de 4   ·   MICROSOFT SENTINEL - KQL
  AnyPwn: hijo inesperado del proceso AnyDesk como root (Linux)
==============================================================================
  Requiere: Microsoft Defender for Endpoint en Linux ingiriendo a Sentinel, con la tabla DeviceProcessEvents disponible.

DeviceProcessEvents
| where InitiatingProcessFileName has "anydesk"
| where AccountName == "root"
| where not(ProcessCommandLine has_any ("--service", "/usr/bin/anydesk"))
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, AccountName

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Actualizaciones legítimas de AnyDesk, scripts de administración o
  automatizaciones de MSP que invocan utilidades auxiliares desde el proceso
  de AnyDesk con privilegios, y herramientas de monitoreo que inspeccionan
  el proceso del servicio. Ajustar la lista de exclusión (filter_known) a
  los binarios y rutas legítimas de la organización antes de poner la regla
  en modo de alerta activa.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================