============================================================================== RCE CRÍTICA EN ACTIVEMQ EXPONE SUBESTACIONES CON HITACHI ENERGY SOI ============================================================================== Fuente: https://www.vantis.cl/noticias/cve-2026-34197-rce-apache-activemq-hitachi-energy-soi Publicado: 2026-10-12 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-20 19:19 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de creación de procesos del host que aloja Hitachi Energy SOI (Sysmon en Windows o auditd en Linux) · Firewall perimetral / NGFW del segmento OT (tráfico hacia/desde puertos 61616, 8161, 61613) · Logs propios del broker Apache ActiveMQ (audit log de conexiones y comandos administrativos) · Sensor de red/IDS con visibilidad sobre el segmento SCADA (p. ej. Zeek) ============================================================================== REGLA 1 de 4 · SIGMA (canonica, neutral) Proceso Java genera intérprete de comandos (posible post-explotación de RCE en broker ActiveMQ/SOI) ============================================================================== Requiere: Telemetría de creación de procesos (Sysmon Event ID 1 en Windows, o auditd execve en Linux) en el host que ejecuta el broker ActiveMQ/SOI. title: Posible post-explotacion de RCE en broker Java (Apache ActiveMQ / Hitachi Energy SOI) id: a1e4c9b2-7f3d-4e8a-9c16-2d5b7f0a3e41 status: experimental description: Detecta un proceso Java consistente con un broker Apache ActiveMQ que genera un proceso hijo de interprete de comandos, patron de post-explotacion asociado historicamente a RCEs en ActiveMQ (incluido el componente embebido en Hitachi Energy SOI, CVE-2026-34197). No es firma del exploit especifico. references: - https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-04 author: Vantis date: 2026-10-06 logsource: category: process_creation product: windows detection: selection: ParentImage|endswith: '\java.exe' Image|endswith: - '\cmd.exe' - '\powershell.exe' - '\sh.exe' - '\bash.exe' condition: selection falsepositives: - Tareas administrativas legitimas que invocan scripts desde procesos Java (agentes de monitoreo, actualizadores) level: high tags: - attack.initial_access - attack.t1190 - attack.lateral_movement - attack.t1210 ============================================================================== REGLA 2 de 4 · SPLUNK - SPL Java spawneando shell en host con ActiveMQ/SOI ============================================================================== Requiere: Índice sysmon o wineventlog con Sysmon Event ID 1 indexado desde el host que aloja Hitachi Energy SOI. index=sysmon OR index=wineventlog EventCode=1 ParentImage="*\\java.exe" (Image="*\\cmd.exe" OR Image="*\\powershell.exe") | table _time, ComputerName, ParentImage, Image, CommandLine | sort -_time ============================================================================== REGLA 3 de 4 · MICROSOFT SENTINEL - KQL DeviceProcessEvents: Java generando intérprete de comandos ============================================================================== Requiere: Microsoft Defender for Endpoint conectado a Sentinel (tabla DeviceProcessEvents), aplicable si el host con SOI corre Windows y reporta a MDE. DeviceProcessEvents | where InitiatingProcessFileName =~ "java.exe" | where FileName in ("cmd.exe","powershell.exe","sh","bash") | project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, InitiatingProcessCommandLine ============================================================================== REGLA 4 de 4 · WAZUH / VERIFICACION EN HOST auditd: proceso java origina shell en host Linux con ActiveMQ ============================================================================== Requiere: auditd configurado en el host Linux que aloja ActiveMQ/SOI, con reglas de auditoría sobre execve, reenviado al manager Wazuh vía agente. audit_command ^/bin/(ba)?sh$ java Posible post-explotacion de RCE: proceso java origina shell (Apache ActiveMQ / Hitachi Energy SOI) attack_initial_access,attack_t1190,ot_ics ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== El patrón 'proceso Java genera intérprete de comandos' puede dispararse por tareas administrativas legítimas: scripts de despliegue, agentes de monitoreo o actualizadores que invocan sh/cmd desde un proceso Java. Se recomienda ajustar la regla al host específico que aloja Hitachi Energy SOI (no desplegarla de forma global en todo el parque Java de la organización) y correlacionarla con una conexión de red saliente nueva desde el mismo host en la ventana siguiente, antes de escalar como incidente. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================