YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_EXPL_HKTL_LNX_Dirtyfraglpe_May26

Detects dirtyfrag, a local privilege escalation exploit for Linux.

ExploitSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Kompiliert mit YARA-X

Autor: Pezier Pierre-Henri (Nextron Systems)
Datum: 2026-05-07
Geändert: 2026-05-15
Score / Qualität: 80 / 85

Was diese Regel erkennt

Detects dirtyfrag, a local privilege escalation exploit for Linux.

Ziele: Linux-ELF.

Sie definiert 6 Muster (4 Text, 2 Hex, 0 Regex).

Zusammenfassung aus den Metadaten und der Bedingung der Regel erzeugt.

Regelquelltext

.yar herunterladen

expl-hktl-lnx-dirtyfraglpe-may26.yarDetection Rule License 1.1

rule SIGNATURE_BASE_EXPL_HKTL_LNX_Dirtyfraglpe_May26 : FILE
{
	meta:
		description = "Detects dirtyfrag, a local privilege escalation exploit for Linux."
		author = "Pezier Pierre-Henri (Nextron Systems)"
		id = "7548b4c6-6b0f-5c05-acab-26dceac109ac"
		date = "2026-05-07"
		modified = "2026-05-15"
		reference = "https://github.com/V4bel/dirtyfrag/tree/master"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/expl_lnx_dirtyfrag.yar#L1-L26"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "c35594d42f7a5d5d2895164147ee1bc62bb8e294c8468093b7d6fcaab0b174c8"
		logic_hash = "8b804b3f2d00eccb1f4208173fde15f0525ac710388f14d6a4f9844c49d3660e"
		score = 80
		quality = 85
		tags = "FILE"

	strings:
		$x1 = "gained CAP_NET_RAW within netn" ascii
		$x2 = "DIRTYFRAG_VERBOSE" ascii
		$s1 = { 15 7C 4A 7F B9 79 37 9E }
		$s2 = "/proc/self/setgroups" ascii fullword
		$s3 = "pcbc(fcrypt)" ascii fullword
		$s4 = { 17 bb c7 f3 3f 36 ba 71 8e 97 65 60 69 b6 f6 e6 }

	condition:
		filesize < 100KB and uint32be( 0 ) == 0x7f454c46 and ( 1 of ( $x* ) or 3 of ( $s* ) )
}

Strings (6 Muster)

Bezeichner	Typ	Wert	Modifikatoren
$x1	Text	"gained CAP_NET_RAW within netn"	ascii
$x2	Text	"DIRTYFRAG_VERBOSE"	ascii
$s1	Hex	{ 15 7C 4A 7F B9 79 37 9E }
$s2	Text	"/proc/self/setgroups"	ascii fullword
$s3	Text	"pcbc(fcrypt)"	ascii fullword
$s4	Hex	{ 17 bb c7 f3 3f 36 ba 71 8e 97 65 60 69 b6 f6 e6 }

Bedingung

filesize < 100KB and uint32be( 0 ) == 0x7f454c46 and ( 1 of ( $x* ) or 3 of ( $s* ) )

In Worten (Heuristik)

Die Datei muss mit dem ELF-Header beginnen — eine Linux/Unix-Programmdatei.
Die Datei muss kleiner als 100KB sein (eine günstige Grenze, die große Dateien ausschließt).
Mindestens 1 Muster aus ( $x* ) müssen treffen.
Mindestens 3 Muster aus ( $s* ) müssen treffen.

Diese Regel im Browser testen

Legen Sie eine Datei ab, um sie mit dieser Regel und YARA-X als WebAssembly zu scannen. Nichts wird hochgeladen.

Datei hier ablegen oder klicken zum AuswählenLokal mit YARA-X gescannt. Dateien bis 200 MB.

Im Editor öffnen

Referenzen

https://github.com/V4bel/dirtyfrag/tree/master

Proben-Hashes

Hashes der Proben, die der Autor in den Metadaten der Regel nennt (in Ihrer Threat-Intelligence-Plattform nachschlagen).

c35594d42f7a5d5d2895164147ee1bc62bb8e294c8468093b7d6fcaab0b174c8

Lizenz & Namensnennung

Autor: Pezier Pierre-Henri (Nextron Systems)

Quell-Repository: Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Lizenz: Detection Rule License 1.1 (Repository-Lizenz)

Originalregel

Gespiegelt über YARA Forge 20260927, das Regelnamen mit der Quelle präfixiert und normalisierte Meta-Felder ergänzt.

Regel-ID: 7548b4c6-6b0f-5c05-acab-26dceac109ac

Tags:FILE

SIGNATURE_BASE_EXPL_HKTL_LNX_Dirtyfragshellcode_May26
ExploitSignature Base (Florian Roth / Nextron)· Pezier Pierre-Henri (Nextron Systems)· 2026-05-07
SIGNATURE_BASE_MAL_Kernel_Regphantom_Mar26
MalwareSignature Base (Florian Roth / Nextron)· Pezier Pierre-Henri (Nextron Systems)· 2026-03-19