Cobertura de Detecção KQL do Exploitarium

Regras de detecção KQL para Microsoft Sentinel e Defender XDR cobrindo a divulgação anônima bikini/exploitarium — um arquivo de pesquisa pessoal com mais de 15 alvos de vulnerabilidade distintos em mais de 109 arquivos rastreados, divulgado sem notificação ao fornecedor em 23 de junho de 2026.

54 regras | 23 pastas de produtos | KQL | Autor: Ethan Andrews (@eandrews)

Última atualização: 7/1/2026

Relatório de inteligência: https://systemtwosecurity.com/share/inspiration/VNJMKFVM

Contexto

Um pesquisador anônimo conhecido como 'bikini' lançou o exploitarium, um repositório GitHub contendo pesquisa de prova de conceito em mais de 15 alvos de vulnerabilidade distintos (mais de 109 arquivos rastreados em mais de 15 pastas). O repositório é atualizado ativamente — novas entradas estão sendo adicionadas conforme o pesquisador continua publicando trabalhos.

Esclarecimento de escopo: O repositório contém 15 alvos de pesquisa de vulnerabilidade distintos. A contagem de arquivos por pasta reflete arquivos individuais (scripts, payloads, auxiliares, READMEs) — não CVEs distintos. O README do pesquisador observa que estes não foram reportados no momento da postagem e convida explicitamente outros a registrar CVEs.

As descobertas tecnicamente mais significativas — escrita heap pré-autenticação no libssh2 e bypass de autenticação padrão do Docker no Gitea — foram verificadas independentemente como de alto risco com exploração ativa observada. Algumas entradas foram descartadas pela comunidade como ruído de baixo impacto.

Detalhamento das Pastas do Exploitarium

Estrutura do Repositório

Exploitarium-Detections/
├── 7zip/                 # MOTW bypass x3 (rules 02, 27, 28)
├── anydesk/              # COM hijack DLL, named pipe, PE fingerprint recon (rules 06, 17, 36)
├── c-ares/               # TCP UAF NDR sequence, linkage recon, DNS failure spike (rules 07, 08, 41)
├── curl/                 # SMTP CRLF injection attempt + PoC artifact (rules 45, 46)
├── docker/               # Privileged container host mount shell spawn (rule 38)
├── exploitarium-generic/ # calc.exe PoC generic, multi-CVE sweep (rules 22, 44)
├── ffmpeg/               # (reserved)
├── firefox/              # SmartWindow silent enablement (rule 09)
├── flowise/              # Unauthorized API access (rule 37)
├── ghidra/               # Headless analyzer suspicious script execution (rule 40)
├── imagemagick/          # Policy bypass delegate execution (rule 39)
├── libarchive/           # ZIP debuginfod size boundary bypass x2 (rules 51, 52)
├── libssh2/              # Pre-auth RCE, DoS x2, scaffold x2, heap corruption, recon (rules 01, 12, 13, 24, 25, 26, 35)
├── lunar-client/         # Electron IPC preload, Modrinth gameDirectory abuse (rules 15, 16)
├── mybb/                 # ACP privilege escalation x2 (rules 05, 21)
├── nextjs/               # unstable_cache PoC execution, cache object collision (rules 49, 50)
├── nmap/                 # IPv6 ExtLen wrap PoC (rule 18)
├── nodebb/               # ActivityPub UID spoof x2 (rules 47, 48)
├── openvpn/              # PAC injection, echo script ACE, DHCP option injection (rules 14, 42, CVE-2026-45115)
├── php/                  # SOAP RCE, ASLR bypass (rules 10, 11)
├── pillow/               # ImageCms OOB write PoC execution + crash detection (rules 53, 54, 55)
├── rustdesk/             # Session bypass x4 (rules 03, 19, 23, 33, 34)
├── splunk/               # splunkd child process, reverse shell, REST API, PoC artifact (rules 20, 31, 32, 43)
└── vlc/                  # VP9 crash/child spawn, WER report, VP9 decode child (rules 04, 29, 30)

Cobertura por Produto

Cobertura de CVEs

Cobertura de Plataformas

Regras Prioritárias — Ação Primeiro

1. libssh2/cve-2026-55200-pre-auth-rce-child-process.kql — CVSS 9.2, exploração ativa
2. libssh2/libssh2-linkage-recon-ldd-readelf-strings.kql — detectar reconhecimento pré-exploração
3. libssh2/cve-2026-55200-libpwn-harness-binaries-endpoint.kql — binários harness em disco
4. exploitarium-generic/multi-cve-exploitarium-sweep-simultaneous-poc.kql — varredura mais ampla
5. splunk/cve-2026-20253-splunkd-unexpected-child-process.kql — alvo empresarial de alto valor
6. rustdesk/rustdesk-session-permission-bypass-comprehensive.kql — cobertura completa de múltiplos ramos
7. curl/curl-smtp-expn-crlf-injection-attempt.kql — relevante para qualquer SaaS de envio de e-mail que use libcurl

Índice de Regras

Uso

Cada arquivo .kql contém o corpo completo da regra mais um cabeçalho de metadados (severidade, plataformas, IDs MITRE, CVEs, link do detections.ai). Importe diretamente para o Sentinel como uma regra de consulta agendada ou para o Defender XDR como uma detecção personalizada.

As regras também estão disponíveis em Splunk SPL, Elastic, Chronicle e outras pilhas através do recurso de tradução de idioma do detections.ai.

Autor

Ethan Andrews Colaborador Confiável — detections.ai