Exploitarium KQL-Erkennungsabdeckung

KQL-Erkennungsregeln für Microsoft Sentinel und Defender XDR, die die bikini/exploitarium-Veröffentlichung abdecken – ein persönliches Forschungsarchiv mit über 15 verschiedenen Schwachstellenzielen in über 109 verfolgten Dateien, veröffentlicht ohne Benachrichtigung der Hersteller am 23. Juni 2026.

54 Regeln | 23 Produktordner | KQL | Autor: Ethan Andrews (@eandrews)

Zuletzt aktualisiert: 1. Juli 2026

Intel-Bericht: https://systemtwosecurity.com/share/inspiration/VNJMKFVM

Hintergrund

Ein anonymer Forscher namens 'bikini' hat exploitarium veröffentlicht, ein GitHub-Repository mit Proof-of-Concept-Forschung zu über 15 verschiedenen Schwachstellenzielen (109+ verfolgte Dateien in 15+ Ordnern). Das Repository wird aktiv aktualisiert – neue Einträge werden hinzugefügt, sobald der Forscher weiterhin Arbeiten veröffentlicht.

Klarstellung zum Umfang: Das Repository enthält 15 verschiedene Schwachstellenforschungsziele. Die Dateianzahlen pro Ordner spiegeln einzelne Dateien wider (Skripte, Payloads, Hilfsprogramme, READMEs) – nicht einzelne CVEs. Der Forscher stellt im README fest, dass diese zum Zeitpunkt der Veröffentlichung nicht gemeldet waren, und lädt ausdrücklich andere ein, CVEs einzureichen.

Die technisch bedeutsamsten Erkenntnisse – ein libssh2-Heap-Write vor der Authentifizierung und eine Gitea-Standard-Docker-Authentifizierungsumgehung – wurden unabhängig als hochriskant bestätigt, wobei aktive Ausnutzung beobachtet wurde. Einige Einträge wurden von der Community als einkommensschwaches Rauschen abgetan.

Exploitarium-Ordneraufteilung

Repository-Struktur

Exploitarium-Detections/
├── 7zip/                 # MOTW-Bypass x3 (Regeln 02, 27, 28)
├── anydesk/              # COM-Hijack-DLL, Named Pipe, PE-Fingerabdruck-Recon (Regeln 06, 17, 36)
├── c-ares/               # TCP-UAF-NDR-Sequenz, Linkage-Recon, DNS-Ausfallspitze (Regeln 07, 08, 41)
├── curl/                 # SMTP-CRLF-Injektionsversuch + PoC-Artefakt (Regeln 45, 46)
├── docker/               # Privilegierter Container-Host-Mount-Shell-Spawn (Regel 38)
├── exploitarium-generic/ # calc.exe-PoC-generisch, Multi-CVE-Scan (Regeln 22, 44)
├── ffmpeg/               # (reserviert)
├── firefox/              # SmartWindow-stilles Aktivieren (Regel 09)
├── flowise/              # Unautorisierter API-Zugriff (Regel 37)
├── ghidra/               # Headless-Analyzer, verdächtige Skriptausführung (Regel 40)
├── imagemagick/          # Policy-Bypass-Delegatenausführung (Regel 39)
├── libarchive/           # ZIP-debuginfod-Größen-Grenzumgehung x2 (Regeln 51, 52)
├── libssh2/              # Pre-Auth-RCE, DoS x2, Scaffold x2, Heap-Korruption, Recon (Regeln 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/         # Electron-IPC-Preload, Modrinth-gameDirectory-Missbrauch (Regeln 15, 16)
├── mybb/                 # ACP-Privilegieneskalation x2 (Regeln 05, 21)
├── nextjs/               # unstable_cache PoC-Ausführung, Cache-Objekt-Kollision (Regeln 49, 50)
├── nmap/                 # IPv6-ExtLen-Wrap-PoC (Regel 18)
├── nodebb/               # ActivityPub-UID-Spoof x2 (Regeln 47, 48)
├── openvpn/              # PAC-Injektion, Echo-Script-ACE, DHCP-Options-Injektion (Regeln 14, 42, CVE-2026-45115)
├── php/                  # SOAP-RCE, ASLR-Bypass (Regeln 10, 11)
├── pillow/               # ImageCms-OOB-Write-PoC-Ausführung + Absturzerkennung (Regeln 53, 54, 55)
├── rustdesk/             # Sitzungsumgehung x4 (Regeln 03, 19, 23, 33, 34)
├── splunk/               # splunkd-Kindprozess, Reverse-Shell, REST-API, PoC-Artefakt (Regeln 20, 31, 32, 43)
└── vlc/                  # VP9-Absturz/Kind-Spawn, WER-Bericht, VP9-Decode-Kind (Regeln 04, 29, 30)

Abdeckung nach Produkt

CVE-Abdeckung

Plattformabdeckung

Prioritätsregeln – zuerst handeln

1. libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, aktive Ausnutzung
2. libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — Erkennung von Recon vor der Ausnutzung
3. libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — Harness-Binärdateien auf der Festplatte
4. exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — breitester Scan
5. splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — hochwertiges Unternehmensziel
6. rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — vollständige Multi-Branch-Abdeckung
7. curl/curl-smtp-expn-crlf-injection-attempt.kql — relevant für jedes E-Mail-sendende SaaS unter Verwendung von libcurl

Regelindex

Verwendung

Jede .kql-Datei enthält den vollständigen Regelkörper plus einen Metadaten-Header (Schweregrad, Plattformen, MITRE-IDs, CVEs, detections.ai-Link). Importieren Sie direkt in Sentinel als geplante Abfrageregel oder in Defender XDR als benutzerdefinierte Erkennung.

Regeln sind auch in Splunk SPL, Elastic, Chronicle und anderen Stacks über die Sprachübersetzungsfunktion von detections.ai verfügbar.

Autor

Ethan Andrews Vertrauenswürdiger Mitwirkender — detections.ai