============================================================================== OCHO CAMPAÑAS CONTRA GTD TELSUR EN UN MES SALIERON DE TRES SERVIDORES ============================================================================== Fuente: https://www.vantis.cl/noticias/ocho-campanas-gtd-telsur-agosto-2026-infraestructura-compartida Publicado: 2026-09-01 (hora de Chile) Ambito: chile · Criticidad: alta Descargado: 2026-10-12 06:30 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Registros de proxy o gateway web con URL completa, no solo dominio · Consultas DNS del resolver corporativo (sin esto, el patrón de comodín es invisible) · Telemetría de EDR con conexiones de red por proceso, para saber qué aplicación abrió el enlace · Registros de autenticación del portal del proveedor, si el proveedor los expone ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) Trafico hacia la infraestructura de las 8 campañas ============================================================================== Requiere: Registros de proxy normalizados con dst_ip y URL completa title: Trafico hacia infraestructura de phishing que suplanta a GTD Telsur id: 3f9b1c72-5d84-4a10-9e33-7c2ab6d10f41 status: experimental description: > Detecta conexiones hacia las cuatro direcciones IP publicadas por ANCI en las ocho alertas de campana fraudulenta contra GTD Telsur (ACF26-01132 a ACF26-01167, agosto 2026), y el uso de servicios de DNS comodin tipo sslip.io observado en ACF26-01133. references: - https://www.anci.gob.cl/alertas/ author: Vantis Chile SpA date: 2026/09/01 logsource: category: proxy detection: ips_anci: dst_ip: - '172.86.110.55' - '45.61.145.23' - '144.172.116.133' - '180.131.145.146' dns_comodin: c-uri|contains: - '.sslip.io' - '.nip.io' condition: ips_anci or dns_comodin falsepositives: - Los servicios de DNS comodin se usan legitimamente en laboratorios y entornos de desarrollo. Excluir los segmentos de red donde eso sea esperable, no la regla completa. level: high tags: - attack.initial_access - attack.t1566.002 ============================================================================== REGLA 2 de 4 · MICROSOFT SENTINEL - KQL Búsqueda retroactiva de 30 días sobre las 4 IP ============================================================================== Requiere: Microsoft Defender for Endpoint conectado a Sentinel (tabla DeviceNetworkEvents) // IOCs de las 8 alertas de ANCI sobre GTD Telsur (agosto 2026) let iocs_ip = dynamic(["172.86.110.55","45.61.145.23","144.172.116.133","180.131.145.146"]); DeviceNetworkEvents | where Timestamp > ago(30d) | where RemoteIP in (iocs_ip) | project Timestamp, DeviceName, RemoteIP, RemoteUrl, InitiatingProcessFileName, InitiatingProcessAccountName | order by Timestamp desc ============================================================================== REGLA 3 de 4 · MICROSOFT SENTINEL - KQL Cacería del patrón durable: subdominio diagnostic* y DNS comodín ============================================================================== Requiere: Tabla DnsEvents alimentada por el conector de DNS de Windows o el resolver corporativo // Cacería del patrón de nombres del operador: subdominio "diagnostic*" sobre dominios de terceros DnsEvents | where TimeGenerated > ago(45d) | where Name matches regex @"^(diagnostico|diagnosticar|defensa-fiscal)\\." or Name endswith ".sslip.io" or Name endswith ".nip.io" | summarize Consultas = count(), Equipos = dcount(ClientIP), Ejemplos = make_set(Name, 15) by bin(TimeGenerated, 1d) | order by TimeGenerated desc ============================================================================== REGLA 4 de 4 · SPLUNK - SPL Correlación de IP, patrón de nombres y DNS comodín en un solo pase ============================================================================== Requiere: index=proxy con los campos src_ip, dest_ip, url y user index=proxy earliest=-30d | eval ioc_ip = if(match(dest_ip, "^(172\\.86\\.110\\.55|45\\.61\\.145\\.23|144\\.172\\.116\\.133|180\\.131\\.145\\.146)$"), 1, 0) | eval patron = if(match(url, "(?i)^https?://(diagnostico|diagnosticar|defensa-fiscal)\\."), 1, 0) | eval comodin = if(match(url, "(?i)\\.(sslip|nip)\\.io"), 1, 0) | where ioc_ip=1 OR patron=1 OR comodin=1 | stats count AS peticiones, min(_time) AS primera, max(_time) AS ultima, values(url) AS urls, values(dest_ip) AS destinos by src_ip, user | convert ctime(primera) ctime(ultima) | sort - peticiones ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla por IP es de bajo ruido: son direcciones de hosting sin uso legítimo conocido. El patrón diagnostic* sí puede generar ruido si tu organización usa herramientas de diagnóstico alojadas en subdominios propios — excluye tus dominios, no la regla. El bloqueo de sslip.io y nip.io puede afectar entornos de desarrollo y laboratorios: excluye esos segmentos de red antes de bloquear, o vas a romper algo un viernes. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================