==============================================================================
  VULNERABILIDAD CRÍTICA EN ZIMBRA EXPLOTADA ACTIVAMENTE CONTRA SERVIDORES CHILENOS
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/zimbra-cve-2026-73570-explotacion-activa-chile
  Publicado:   2026-09-07  (hora de Chile)
  Ambito:      chile   ·   Criticidad: critica
  Descargado:  2026-10-12 06:25  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de aplicación de Zimbra (mailbox.log, audit.log, zmconfigd.log)
  · Telemetría de procesos del sistema operativo (auditd en Linux, o EDR)
  · Logs de tráfico de red/proxy hacia el servidor Zimbra (puertos SMTP y SNMP)

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Ejecución de shell o binarios de sistema desde procesos de Zimbra (posible explotación CVE-2026-73570)
==============================================================================

title: Posible explotación de CVE-2026-73570 en Zimbra Collaboration
id: c1a2b3d4-5e6f-4a7b-8c9d-0e1f2a3b4c5d
status: experimental
logsource:
    category: process_creation
    product: linux
detection:
    selection_parent:
        ParentImage|contains:
            - '/opt/zimbra/'
            - 'zmconfigd'
            - 'mailboxd'
    selection_child:
        Image|endswith:
            - '/bin/sh'
            - '/bin/bash'
            - '/usr/bin/curl'
            - '/usr/bin/wget'
            - '/usr/bin/python3'
    condition: selection_parent and selection_child
falsepositives:
    - Tareas administrativas legítimas de mantenimiento de Zimbra que invocan scripts propios
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Procesos hijo sospechosos desde componentes de Zimbra (Microsoft Sentinel)
==============================================================================
  Requiere: Requiere DeviceProcessEvents pobladas por Microsoft Defender for Endpoint (o agente equivalente) instalado en el host Linux que corre Zimbra.

DeviceProcessEvents
| where InitiatingProcessFolderPath has "/opt/zimbra/" or InitiatingProcessFileName has_any ("zmconfigd", "mailboxd")
| where FileName in~ ("sh", "bash", "curl", "wget", "python3")
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, ProcessCommandLine
| order by Timestamp desc

==============================================================================
  REGLA 3 de 3   ·   WAZUH / VERIFICACION EN HOST
  Alerta de ejecución de shell hijo de procesos Zimbra (auditd)
==============================================================================
  Requiere: Requiere auditd activo en el servidor Linux con reglas de monitoreo de ejecución de procesos (execve), y el agente Wazuh reenviando esos eventos al manager.

<rule id="100731" level="12">
  <if_sid>530</if_sid>
  <field name="audit.exe">^/bin/(sh|bash)$</field>
  <field name="audit.ppid_process">zmconfigd|mailboxd</field>
  <description>Posible explotacion CVE-2026-73570: shell generado desde proceso de Zimbra</description>
  <group>zimbra,cve_2026_73570,command_injection</group>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Las reglas basadas en "proceso hijo shell desde componente Zimbra" pueden
  dispararse con tareas de mantenimiento administrativas legítimas (backups
  programados, scripts de zmconfigd normales). Antes de escalar a incidente,
  verificar si el comando ejecutado corresponde a una tarea programada
  conocida (crontab de zimbra) o si el proceso padre corresponde
  efectivamente al componente SNMP/SMTP y no a una tarea batch documentada.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================