==============================================================================
  CVE-2026-65660 EN SHAREPOINT ON-PREMISE YA SE EXPLOTA ACTIVAMENTE
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cve-2026-65660-sharepoint-explotacion-activa
  Publicado:   2026-10-08  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 05:39  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de IIS del servidor SharePoint (W3SVC)
  · Windows Event Log (Security) y Sysmon en los servidores SharePoint
  · Telemetría de EDR instalada en los servidores SharePoint
  · Logs de proxy/WAF si la granja de SharePoint está publicada a Internet

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Proceso de trabajo de IIS (SharePoint) generando intérprete de comandos
==============================================================================
  Requiere: Logs de creación de procesos de Windows (Sysmon Event ID 1 o equivalente, EDR con telemetría de procesos) en los servidores que alojan SharePoint

title: SharePoint IIS Worker Process Spawning Command Interpreter
id: 7a3f9c2e-4b61-4f8d-9a2c-5e1d8b3f6a90
status: experimental
description: |
  Deteccion por comportamiento, no por firma ni IOC. Detecta a w3wp.exe
  (proceso de trabajo de IIS que aloja SharePoint) generando un interprete
  de comandos u otro binario de scripting, patron consistente con
  explotacion de RCE en SharePoint Server (incluida la familia de fallas
  de CVE-2026-65660, para la cual no hay IOCs publicos al momento de
  esta publicacion). Ajustar la lista de procesos padre e hijos al
  entorno real antes de pasar a produccion.
author: Vantis
date: 2026-09-29
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\w3wp.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\powershell_ise.exe'
      - '\cscript.exe'
      - '\wscript.exe'
      - '\mshta.exe'
  condition: selection
falsepositives:
  - Scripts administrativos ejecutados legitimamente por la cuenta del pool de aplicaciones durante mantenimiento o actualizaciones
  - Tareas programadas que invocan PowerShell desde el contexto de IIS
level: high
tags:
  - attack.initial_access
  - attack.t1190

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  w3wp.exe generando intérprete de comandos (DeviceProcessEvents)
==============================================================================
  Requiere: Tabla DeviceProcessEvents de Microsoft Defender for Endpoint, consultada vía Microsoft Sentinel, con los servidores SharePoint onboarded

// Deteccion conductual - status experimental, sin IOCs publicos confirmados
// Ajustar la lista de procesos hijo segun el entorno antes de habilitar en modo bloqueo
DeviceProcessEvents
| where InitiatingProcessFileName =~ "w3wp.exe"
| where FileName in~ ("cmd.exe","powershell.exe","powershell_ise.exe","cscript.exe","wscript.exe","mshta.exe")
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, AccountName
| order by Timestamp desc

==============================================================================
  REGLA 3 de 3   ·   WAZUH / VERIFICACION EN HOST
  Archivo ASPX sospechoso creado en directorio LAYOUTS (FIM)
==============================================================================
  Requiere: Módulo syscheck (File Integrity Monitoring) de Wazuh habilitado sobre la ruta de instalación de SharePoint ('Web Server Extensions\15 o 16\TEMPLATE\LAYOUTS')

<!-- Deteccion conductual por integridad de archivos, status experimental -->
<!-- No corresponde a firma ni IOC especifico de CVE-2026-65660 -->
<rule id="100150" level="12">
  <if_sid>550</if_sid>
  <field name="file">(?i)Web Server Extensions.*\.aspx$</field>
  <description>Posible webshell: archivo ASPX creado o modificado en directorio de extensiones web de SharePoint</description>
  <group>sharepoint,web_shell,</group>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Las tres reglas son conductuales y de estado experimental: no existen IOCs
  públicos (hashes, IPs, dominios) confirmados para CVE-2026-65660 al
  momento de esta publicación, así que detectan el comportamiento típico de
  explotación de SharePoint y no un indicador específico de esta campaña. La
  regla de proceso (Sigma y su traducción KQL) genera ruido durante ventanas
  de mantenimiento o actualización de SharePoint, cuando la cuenta de
  servicio invoca PowerShell legítimamente — conviene correlacionar con el
  calendario de mantenimiento antes de escalar la alerta y, si es necesario,
  agregar exclusiones por cuenta de servicio y horario. La regla de Wazuh
  sobre archivos ASPX puede dispararse con despliegues legítimos de páginas
  personalizadas o actualizaciones del propio producto; filtrar por el
  proceso que realiza la escritura (excluyendo instaladores firmados de
  Microsoft) reduce el ruido pero no lo elimina del todo.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================