YARA · Signature Base (Florian Roth / Nextron)

SIGNATURE_BASE_HKTL_Bluehammer_Apr26

Detects Nightmare-Eclipse/BlueHammer (FunnyApp), a Windows local privilege escalation PoC that abuses a Defender signature-update RPC and a junction/symlink race to leak the SAM hive and derive NTLM hashes - giving an unprivileged user full SYSTEM-level credential access.

Outil offensifSignature Base (Florian Roth / Nextron)Detection Rule License 1.1Compile avec YARA-X

Auteur: AzizFarghly (Nextron-Systems)
Date: 2026-04-07
Modifiée: 2026-05-15
Score / Qualité: 90 / 85

Ce que détecte cette règle

Cibles : PE Windows.

Elle définit 6 motifs (5 texte, 1 hex, 0 regex).

Résumé généré à partir des métadonnées et de la condition de la règle.

Source de la règle

Télécharger .yar

hktl-bluehammer-apr26.yarDetection Rule License 1.1

rule SIGNATURE_BASE_HKTL_Bluehammer_Apr26 : FILE
{
	meta:
		description = "Detects Nightmare-Eclipse/BlueHammer (FunnyApp), a Windows local privilege escalation PoC that abuses a Defender signature-update RPC and a junction/symlink race to leak the SAM hive and derive NTLM hashes - giving an unprivileged user full SYSTEM-level credential access."
		author = "AzizFarghly (Nextron-Systems)"
		id = "595bf733-b287-5048-88e2-b88caffc7a5d"
		date = "2026-04-07"
		modified = "2026-05-15"
		reference = "https://github.com/Nightmare-Eclipse/BlueHammer"
		source_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/yara/htkl_blue_hammer_tool.yar#L1-L35"
		license_url = "https://github.com/Neo23x0/signature-base/blob/94a1c48d7ab499879287ff611dfe7f9c56376030/LICENSE"
		hash = "6514f56223999eb86a19ea9f2abbfb0f407934a1a0694ffb94a8ea37113073f4"
		hash = "93008c42764b74b759678fd376abd90696f74af408600727b6649286d8424270"
		hash = "b25e903988e530df00658ff3ad6d180e43d6660b705ad6d0def4a29ee1167e52"
		hash = "82eb727e2a2b3334a70fa2d357ba4f44dc989a650a6a18222dd5d1bb1444b496"
		hash = "b33f3f31c83fc655952fab73d72b673b92ed4f205daee56444903201316cfc4a"
		hash = "c6baa5ec9ea2c2802a90acad5a53453d176a02e04a31ac8e9b7b34b5e3329b84"
		hash = "552dba31a446e96416738d84d4366503c397ba508a732719531c89a41abf3704"
		hash = "c9bec499db6a0a2165bcd2a211c8887e5fadf954eb9a2e5d3c6ca833e4a5ef64"
		logic_hash = "fa5f566895d158f1ae07f282fc19516792e620855a9485026ab05f359c48f670"
		score = 90
		quality = 85
		tags = "FILE"

	strings:
		$x1 = "Junction created %ws => %ws"
		$x2 = "connect to windows defender RPC port !!!"
		$s1 = "\\System32\\Config\\SAM" wide
		$s2 = "IMpService77BDAF73-B396-481F-9042-AD358843EC24" wide
		$s3 = "ServerMpUpdateEngineSignature"
		$op1 = { 8D 47 02 66 89 43 0C 66 C7 43 0E 02 00 48 8B C7 48 D1 E8 66 44 89 7C 43 12 }

	condition:
		uint16( 0 ) == 0x5A4D and filesize < 7MB and ( 1 of ( $x* ) or all of ( $s* ) or $op1 ) or 3 of them
}

Chaînes (6 motifs)

Identifiant	Type	Valeur	Modificateurs
$x1	texte	"Junction created %ws => %ws"
$x2	texte	"connect to windows defender RPC port !!!"
$s1	texte	"\\System32\\Config\\SAM"	wide
$s2	texte	"IMpService77BDAF73-B396-481F-9042-AD358843EC24"	wide
$s3	texte	"ServerMpUpdateEngineSignature"
$op1	hex	{ 8D 47 02 66 89 43 0C 66 C7 43 0E 02 00 48 8B C7 48 D1 E8 66 44 89 7C 43 12 }

Condition

uint16( 0 ) == 0x5A4D and filesize < 7MB and ( 1 of ( $x* ) or all of ( $s* ) or $op1 ) or 3 of them

En clair (Heuristique)

Le fichier doit commencer par « MZ » — un exécutable Windows (PE).
Le fichier doit faire moins de 7MB (garde-fou peu coûteux qui écarte les gros fichiers).
Tous les motifs de ( $s* ) doivent être trouvés.
Au moins 1 motifs de ( $x* ) doivent être trouvés.
Au moins 3 motifs de la règle doivent être trouvés.
Le motif $op1 doit être présent.

Tester cette règle dans votre navigateur

Déposez un fichier pour le scanner avec cette règle grâce à YARA-X compilé en WebAssembly. Rien n’est envoyé.

Déposez un fichier ici ou cliquez pour choisirScanné localement avec YARA-X. Fichiers jusqu’à 200 Mo.

Ouvrir dans l’éditeur

Références

https://github.com/Nightmare-Eclipse/BlueHammer

Hashes d’échantillons

Hashes des échantillons listés par l’auteur dans les métadonnées de la règle (à rechercher dans votre plateforme de threat intelligence).

6514f56223999eb86a19ea9f2abbfb0f407934a1a0694ffb94a8ea37113073f4
93008c42764b74b759678fd376abd90696f74af408600727b6649286d8424270
b25e903988e530df00658ff3ad6d180e43d6660b705ad6d0def4a29ee1167e52
82eb727e2a2b3334a70fa2d357ba4f44dc989a650a6a18222dd5d1bb1444b496
b33f3f31c83fc655952fab73d72b673b92ed4f205daee56444903201316cfc4a
c6baa5ec9ea2c2802a90acad5a53453d176a02e04a31ac8e9b7b34b5e3329b84
552dba31a446e96416738d84d4366503c397ba508a732719531c89a41abf3704
c9bec499db6a0a2165bcd2a211c8887e5fadf954eb9a2e5d3c6ca833e4a5ef64

Licence et attribution

Auteur : AzizFarghly (Nextron-Systems)

Dépôt source : Signature Base (Florian Roth / Nextron) @ 94a1c48d7a

Licence : Detection Rule License 1.1 (licence du dépôt)

Règle d’origine

Reprise via YARA Forge 20260927, qui préfixe les noms de règles par la source et ajoute des champs meta normalisés.

Identifiant de règle: 595bf733-b287-5048-88e2-b88caffc7a5d

Tags:FILE