Couverture de détection KQL Exploitarium

Règles de détection KQL pour Microsoft Sentinel et Defender XDR couvrant la divulgation anonyme bikini/exploitarium — une archive de recherche personnelle de plus de 15 cibles de vulnérabilité distinctes à travers plus de 109 fichiers suivis, publiée sans notification au fournisseur le 23 juin 2026.

54 règles | 23 dossiers de produits | KQL | Auteur : Ethan Andrews (@eandrews)

Dernière mise à jour : 7/1/2026

Rapport de renseignement : https://systemtwosecurity.com/share/inspiration/VNJMKFVM

Contexte

Un chercheur anonyme connu sous le nom de « bikini » a publié exploitarium, un dépôt GitHub contenant des recherches de preuve de concept à travers plus de 15 cibles de vulnérabilité distinctes (plus de 109 fichiers suivis dans plus de 15 dossiers). Le dépôt est activement mis à jour — de nouvelles entrées sont ajoutées alors que le chercheur continue de publier ses travaux.

Clarification du périmètre : Le dépôt contient 15 cibles de recherche de vulnérabilité distinctes. Les comptes de fichiers par dossier reflètent des fichiers individuels (scripts, charges utiles, aides, README) — pas des CVE distinctes. Le README du chercheur note qu'ils n'ont pas été signalés au moment de la publication et invite explicitement d'autres personnes à déposer des CVE.

Les résultats les plus techniquement significatifs — écriture de tas pré-authentification libssh2 et contournement de l'authentification Docker par défaut de Gitea — ont été vérifiés indépendamment comme à haut risque avec une exploitation active observée. Certaines entrées ont été rejetées par la communauté comme du bruit à faible impact.

Répartition des dossiers Exploitarium

Structure du dépôt

Exploitarium-Detections/
├── 7zip/                 # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/              # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/               # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/                 # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/               # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/               # (reserved)
├── firefox/              # SmartWindow silent enablement (rule 09)
├── flowise/              # Unauthorized API access (rule 37)
├── ghidra/               # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/          # Policy bypass delegate execution (rule 39)
├── libarchive/           # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/              # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/         # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/                 # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/               # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/                 # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/               # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/              # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/                  # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/               # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/             # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/               # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/                  # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)

Couverture par produit

Couverture CVE

Couverture des plateformes

Règles prioritaires — Action immédiate

1. libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, exploitation active
2. libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — détecter le repérage avant exploitation
3. libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — binaires de harnais sur le disque
4. exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — balayage le plus large
5. splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — cible d'entreprise à haute valeur
6. rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — couverture multi-branche complète
7. curl/curl-smtp-expn-crlf-injection-attempt.kql — pertinent pour tout SaaS d'envoi de courrier utilisant libcurl

Index des règles

Utilisation

Chaque fichier .kql contient le corps complet de la règle ainsi qu'un en-tête de métadonnées (gravité, plateformes, ID MITRE, CVE, lien detections.ai). Importez directement dans Sentinel en tant que règle de requête planifiée ou dans Defender XDR en tant que détection personnalisée.

Les règles sont également disponibles dans Splunk SPL, Elastic, Chronicle et autres piles via la fonctionnalité de traduction linguistique detections.ai.

Auteur

Ethan Andrews Contributeur de confiance — detections.ai