Copertura di rilevamento KQL di Exploitarium

Regole di rilevamento KQL per Microsoft Sentinel e Defender XDR che coprono la divulgazione anonima bikini/exploitarium — un archivio personale di ricerca con oltre 15 diversi target di vulnerabilità su oltre 109 file tracciati, rilasciato senza notifica al venditore il 23 giugno 2026.

54 regole | 23 cartelle di prodotto | KQL | Autore: Ethan Andrews (@eandrews)

Ultimo aggiornamento: 7/1/2026

Report Intel: https://systemtwosecurity.com/share/inspiration/VNJMKFVM

Contesto

Un ricercatore anonimo noto come 'bikini' ha rilasciato exploitarium, un repository GitHub contenente ricerca proof-of-concept su oltre 15 diversi target di vulnerabilità (oltre 109 file tracciati in oltre 15 cartelle). Il repository viene aggiornato attivamente — vengono aggiunte nuove voci mentre il ricercatore continua a pubblicare il suo lavoro.

Chiarimento sull'ambito: Il repository contiene 15 diversi target di ricerca sulle vulnerabilità. I conteggi dei file per cartella riflettono i singoli file (script, payload, helper, README) — non CVE distinti. Il README del ricercatore nota che non erano stati segnalati al momento della pubblicazione e invita esplicitamente altri a presentare CVE.

I risultati tecnicamente più significativi — scrittura heap pre-autenticazione di libssh2 e bypass dell'autenticazione Docker predefinita di Gitea — sono stati verificati indipendentemente come ad alto rischio con sfruttamento attivo osservato. Alcune voci sono state respinte dalla comunità come rumore a basso impatto.

Ripartizione delle cartelle di Exploitarium

Struttura del Repository

Exploitarium-Detections/
├── 7zip/                 # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/              # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/               # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/                 # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/               # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/               # (reserved)
├── firefox/              # SmartWindow silent enablement (rule 09)
├── flowise/              # Unauthorized API access (rule 37)
├── ghidra/               # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/          # Policy bypass delegate execution (rule 39)
├── libarchive/           # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/              # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/         # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/                 # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/               # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/                 # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/               # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/              # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/                  # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/               # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/             # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/               # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/                  # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)

Copertura per prodotto

Copertura CVE

Copertura piattaforma

Regole prioritarie — Azione prima

1. libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, sfruttamento attivo
2. libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — intercettare la ricognizione pre-sfruttamento
3. libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — binari di harness su disco
4. exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — scansione più ampia
5. splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — target enterprise di alto valore
6. rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — copertura completa multi-ramo
7. curl/curl-smtp-expn-crlf-injection-attempt.kql — rilevante per qualsiasi SaaS che invia email usando libcurl

Indice delle regole

Utilizzo

Ogni file .kql contiene il corpo completo della regola più un'intestazione di metadati (gravità, piattaforme, ID MITRE, CVE, link detections.ai). Importa direttamente in Sentinel come regola di query pianificata o in Defender XDR come rilevamento personalizzato.

Le regole sono anche disponibili in Splunk SPL, Elastic, Chronicle e altri stack tramite la funzionalità di traduzione linguistica di detections.ai.

Autore

Ethan Andrews Collaboratore fidato — detections.ai