==============================================================================
  BRÓKER DE ACCESOS USO ENJAMBRES DE CLAUDE CODE PARA ESCALAR INTRUSIONES
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cyberxero-enjambres-claude-code-access-broker
  Publicado:   2026-10-16  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-20 19:18  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de acceso del servidor web (Apache/Nginx) o del WAF/proxy inverso que publica el sitio WordPress
  · Módulo de monitoreo de integridad de archivos (FIM) con whodata sobre el directorio wp-content
  · Logs de autenticación y creación de usuarios de WordPress (tabla wp_users o plugin de auditoría)
  · Logs de Redis y reglas de firewall perimetral para exposición a internet del puerto de servicio

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posible despliegue de web shell wp2shell vía API REST de WordPress
==============================================================================
  Requiere: Logs de acceso web con método HTTP, URI stem y query string disponibles (categoría webserver en Sigma). Si el sitio está detrás de un WAF o proxy inverso, ingerir ese log en vez del log nativo del servidor.

title: Posible despliegue de web shell wp2shell vía REST API de WordPress
id: b3e4a1f0-9d2c-4b7e-8a61-5f0c3e9d2a71
status: experimental
description: Detecta solicitudes POST al endpoint REST de WordPress combinadas con indicadores de creación de cuentas administradoras con el prefijo wp2_, patrón reportado en la campaña CyberXero.
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-cyberxero-agent-swarm-iab-20261015-csa-sty/
logsource:
  category: webserver
detection:
  rest_api:
    cs-uri-stem|contains: '/wp-json/'
    cs-method: 'POST'
  rogue_admin:
    cs-uri-query|contains: 'wp2_'
  condition: rest_api and rogue_admin
falsepositives:
  - Plugins legítimos que automatizan la creación de usuarios vía REST API
  - Pruebas internas de desarrollo con nomenclatura similar
level: high

==============================================================================
  REGLA 2 de 3   ·   MICROSOFT SENTINEL - KQL
  Ráfaga de solicitudes a /wp-json/ compatible con escaneo masivo automatizado
==============================================================================
  Requiere: Tabla CommonSecurityLog alimentada desde el WAF o proxy inverso que publica el sitio WordPress, con el parser CEF del dispositivo mapeando correctamente RequestURL y SourceIP.

CommonSecurityLog
| where RequestURL has "/wp-json/"
| summarize ReqCount = count(), DistinctPaths = dcount(RequestURL) by SourceIP, bin(TimeGenerated, 1m)
| where ReqCount > 50
| order by ReqCount desc

==============================================================================
  REGLA 3 de 3   ·   WAZUH / VERIFICACION EN HOST
  Nuevo archivo PHP en directorio web compatible con patrón wp2shell/WSO
==============================================================================
  Requiere: Módulo FIM de Wazuh (syscheck) activo con whodata sobre el árbol wp-content, agente instalado en el servidor o contenedor que sirve el sitio.

<rule id="100210" level="12">
  <if_sid>550</if_sid>
  <field name="file" type="pcre2">(?i)wp-content/(uploads|plugins)/.*wp2shell.*\.php$|(?i)wp-content/(uploads|plugins)/.*\.php$</field>
  <description>Posible web shell (patron wp2shell/WSO) creado en directorio de WordPress</description>
  <mitre>
    <id>T1505.003</id>
  </mitre>
</rule>

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  La regla Sigma puede dispararse con plugins legítimos de gestión de
  usuarios que usan convenciones de nombre similares a wp2_; validar
  manualmente la cuenta antes de deshabilitarla. La regla de Wazuh sobre
  escritura de archivos PHP en wp-content es intencionalmente amplia y
  generará ruido en sitios con despliegues frecuentes de plugins o temas; en
  esos casos, conviene primero acotarla a wp-content/uploads (donde
  normalmente no debería existir PHP ejecutable) antes de extenderla a
  wp-content/plugins.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================