YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_EXPL_HKTL_LNX_Dirtyfraglpe_May26

Detects dirtyfrag, a local privilege escalation exploit for Linux.

ExploitSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compile avec YARA-X

Auteur: Pezier Pierre-Henri (Nextron Systems)
Date: 2026-05-07
Modifiée: 2026-05-15
Score / Qualité: 80 / 85

Ce que détecte cette règle

Detects dirtyfrag, a local privilege escalation exploit for Linux.

Cibles : ELF Linux.

Elle définit 6 motifs (4 texte, 2 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

expl-hktl-lnx-dirtyfraglpe-may26.yarDetection Rule License 1.1

rule SIGNATURE_BASE_EXPL_HKTL_LNX_Dirtyfraglpe_May26 : FILE
{
	meta:
		description = "Detects dirtyfrag, a local privilege escalation exploit for Linux."
		author = "Pezier Pierre-Henri (Nextron Systems)"
		id = "7548b4c6-6b0f-5c05-acab-26dceac109ac"
		date = "2026-05-07"
		modified = "2026-05-15"
		reference = "https://github.com/V4bel/dirtyfrag/tree/master"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/expl_lnx_dirtyfrag.yar#L1-L26"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "c35594d42f7a5d5d2895164147ee1bc62bb8e294c8468093b7d6fcaab0b174c8"
		logic_hash = "8b804b3f2d00eccb1f4208173fde15f0525ac710388f14d6a4f9844c49d3660e"
		score = 80
		quality = 85
		tags = "FILE"

	strings:
		$x1 = "gained CAP_NET_RAW within netn" ascii
		$x2 = "DIRTYFRAG_VERBOSE" ascii
		$s1 = { 15 7C 4A 7F B9 79 37 9E }
		$s2 = "/proc/self/setgroups" ascii fullword
		$s3 = "pcbc(fcrypt)" ascii fullword
		$s4 = { 17 bb c7 f3 3f 36 ba 71 8e 97 65 60 69 b6 f6 e6 }

	condition:
		filesize < 100KB and uint32be( 0 ) == 0x7f454c46 and ( 1 of ( $x* ) or 3 of ( $s* ) )
}

Chaînes (6 motifs)

Identifiant	Type	Valeur	Modificateurs
$x1	texte	"gained CAP_NET_RAW within netn"	ascii
$x2	texte	"DIRTYFRAG_VERBOSE"	ascii
$s1	hex	{ 15 7C 4A 7F B9 79 37 9E }
$s2	texte	"/proc/self/setgroups"	ascii fullword
$s3	texte	"pcbc(fcrypt)"	ascii fullword
$s4	hex	{ 17 bb c7 f3 3f 36 ba 71 8e 97 65 60 69 b6 f6 e6 }

Condition

filesize < 100KB and uint32be( 0 ) == 0x7f454c46 and ( 1 of ( $x* ) or 3 of ( $s* ) )

En clair (Heuristique)

Le fichier doit commencer par l’en-tête ELF — un exécutable Linux/Unix.
Le fichier doit faire moins de 100KB (garde-fou peu coûteux qui écarte les gros fichiers).
Au moins 1 motifs de ( $x* ) doivent être trouvés.
Au moins 3 motifs de ( $s* ) doivent être trouvés.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://github.com/V4bel/dirtyfrag/tree/master

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

c35594d42f7a5d5d2895164147ee1bc62bb8e294c8468093b7d6fcaab0b174c8

Licence et attribution

Auteur : Pezier Pierre-Henri (Nextron Systems)

Dépôt source : Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 7548b4c6-6b0f-5c05-acab-26dceac109ac

Tags:FILE

SIGNATURE_BASE_EXPL_HKTL_LNX_Dirtyfragshellcode_May26
ExploitSignature Base (Florian Roth / Nextron)· Pezier Pierre-Henri (Nextron Systems)· 2026-05-07
SIGNATURE_BASE_MAL_Kernel_Regphantom_Mar26
MalwareSignature Base (Florian Roth / Nextron)· Pezier Pierre-Henri (Nextron Systems)· 2026-03-19