📋 جدول المحتويات

• الميزات
• المتطلبات
• التثبيت
• الاستخدام
• كيفية العمل
• أمثلة على الكشف
• البناء من المصدر
• منطق الكشف
• الترخيص
• الإشادات

✨ الميزات

• 🔍 فحص ذكي: يكتشف برامج التشغيل المعرّضة للخطر باستخدام مطابقة SHA256 واسم الملف
• 🌐 تحديثات تلقائية: مزامنة تلقائية مع قاعدة بيانات LOLDrivers.io
• ⚡ أداء عالٍ: فحص محسّن مع فهارس في الذاكرة لعمليات بحث سريعة
• 📊 تقدّم في الوقت الفعلي: عرض مباشر للملفات التي تم فحصها
• 🎯 كشف حسب الفئة: معايير مختلفة بناءً على نوع التهديد (خبيث مقابل معرّض للخطر)
• 🗂️ أوضاع فحص متعددة:
  • فحص مسار محدد (تكراري أو غير تكراري)
  • الفحص التلقائي للمواقع الشائعة في Windows
• 📝 تقارير مفصّلة: معلومات كاملة عن برامج التشغيل المكتشفة، بما في ذلك أوامر الاستغلال
• 🔒 ملفات .sys فقط: تصفية محددة لبرامج تشغيل نواة Windows

💻 المتطلبات

• نظام التشغيل: Windows 10/11 (x64)
• الصلاحيات: مسؤول (مطلوب لفحص مواقع النظام)
• المساحة: ~10 ميجابايت للملف التنفيذي وقاعدة البيانات

📥 التثبيت

التنزيل المباشر (موصى به)

1. قم بتنزيل أحدث إصدار من Releases
2. قم بفك ضغط ملف .zip
3. شغّل driversentinel.exe من الطرفية بصلاحيات المسؤول

من المصدر

git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel
go run .\build.go

🚀 الاستخدام

الصيغة الأساسية

driversentinel.exe [options]

الخيارات

أمثلة

1. فحص مواقع النظام الشائعة (موصى به)

driversentinel.exe -common

يقوم بالفحص التلقائي لـ:

• C:\Windows\System32\drivers
• C:\Windows\SysWOW64\drivers
• C:\Windows\System32\DriverStore\FileRepository
• مواقع حيوية أخرى

2. فحص مجلد محدد

driversentinel.exe -path C:\MyFolder

3. الفحص التكراري

driversentinel.exe -path C:\MyFolder -r

4. فحص قرص كامل (⚠️ قد يستغرق وقتًا)

driversentinel.exe -path C:\ -r

🔬 كيفية العمل

1️⃣ مزامنة قاعدة البيانات

عند بدء التشغيل، يقوم DriverSentinel:

• بالتحقق من قاعدة بيانات LOLDrivers.io باستخدام ETag أو SHA256
• بتنزيل التحديثات تلقائيًا إذا كانت متوفرة
• باستخدام نسخة محلية في حالة عدم وجود اتصال بالإنترنت

2️⃣ الفهرسة في الذاكرة

بناء فهارس محسّنة للبحث السريع:

• فهرس التجزئة: SHA256 للعينات المعروفة
• فهرس أسماء الملفات: OriginalFilename للعينات المعروفة

3️⃣ فحص الملفات

لكل ملف .sys يتم العثور عليه:

1. مقارنة اسم الملف (بحث سريع)
2. إذا كان هناك تطابق، يتم حساب SHA256
3. تطبيق منطق الكشف بناءً على الفئة
4. الإبلاغ عن التطابقات التي تم العثور عليها

4️⃣ تقرير النتائج

يعرض معلومات مفصّلة:

• مسار الملف
• تجزئة SHA256
• نوع التطابق (اسم الملف، التجزئة، أو كلاهما)
• تفاصيل برنامج التشغيل المعرّض للخطر
• أوامر الاستغلال المعروفة (إن وجدت)

📊 أمثلة على الكشف

مخرجات البرنامج

=== DriverSentinel - Vulnerable Driver Scanner by bI8d0 ===

[repository] Local copy is up to date
[repository] Loaded 1337 drivers
Total drivers loaded: 1337

[scanner] Indices built: 5432 hashes, 5432 filenames
[scanner] Valid extension: .sys
[scanner] Starting scan of: C:\Windows\System32\drivers

[scanner] Scanning (523 files): C:\Windows\System32\drivers\some_driver.sys
⚠ DETECTED: C:\Windows\System32\drivers\vulnerable.sys (Type: both, Category: malicious)

[scanner] Scan completed in 2.34s
[scanner] Files scanned: 523
[scanner] Vulnerabilities found: 1


⚠ ALERT: Found 1 vulnerable driver(s)
================================================================================

[1] VULNERABLE FILE DETECTED
--------------------------------------------------------------------------------
  Path:          C:\Windows\System32\drivers\vulnerable.sys
  SHA256:        abc123def456...
  Match Type:    both
  Driver ID:     vulnerable-driver-id
  Category:      malicious

  Vulnerable Driver Details:
    Original:    vulnerable.sys
    Company:     Malicious Corp
    Product:     Malicious Product
    Version:     1.0.0
    Description: Known vulnerable driver
    HVCI:        False

  Exploitation Commands:
    ─── Command 1 ───
    Use Case:     Privilege Escalation
    Privileges:   Administrator
    OS:           Windows 10/11
    Description:  Known exploit method
    Command:      sc.exe create vuln binPath= ...
    Resources:    https://example.com/advisory

================================================================================

⚡ REMEDIATION GUIDE (Requires Administrator)
================================================================================

Generic commands to remove detected vulnerable drivers:

1. Stop the driver/service (if running):
   sc.exe stop <service_name>

2. Disable the driver/service:
   sc.exe config <service_name> start= disabled

3. Delete the service:
   sc.exe delete <service_name>

4. Backup and delete the file:
   move "C:\Path\To\driver.sys" "C:\Path\To\driver.sys.malz"

5. Or delete directly (use with caution):
   del /F "C:\Path\To\driver.sys"

⚠ WARNING:
   - Removing system drivers may cause system instability or prevent boot.
   - Always create a System Restore Point before taking action.
   - Replace <service_name> with the actual service name (use 'sc.exe query' to find it).
   - Use the full path from the detection results above.

================================================================================

🔨 البناء من المصدر

المتطلبات الأساسية

• Go 1.24+
• Windows 10/11
• Git

الخطوات

# clone the repository
git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel

# Install dependencies
go mod download

# Build
go run .\build.go

# Run
.\build\driversentinel.exe -common

بناء محسّن

go build -ldflags="-s -w" -o build/driversentinel.exe

🧠 منطق الكشف

يطبّق DriverSentinel معايير مختلفة بناءً على فئة برنامج التشغيل:

🔴 برامج التشغيل الخبيثة (category: "malicious")

• الإبلاغ إذا كان: اسم الملف أو التجزئة متطابقين (أي تطابق يعتبر حرجًا)
• السبب: يجب اكتشاف برامج التشغيل الخبيثة بغض النظر عن إعادة تسميتها

🟡 برامج التشغيل المعرّضة للخطر (category: "vulnerable driver")

• الإبلاغ إذا كان: اسم الملف و التجزئة متطابقين (يجب أن يتطابق كلاهما)
• السبب: تجنب النتائج الإيجابية الخاطئة من الأسماء العامة لبرامج التشغيل الشرعية

🟢 الفئات الأخرى

• الإبلاغ من أجل: السلامة (احتياط لفئات جديدة)

أنواع التطابق

مجالات للتحسين

• دعم الفحص المتوازي (goroutines)
• تصدير التقارير (JSON, CSV, HTML)
• واجهة مستخدم رسومية (GUI)
• وضع صامت للأتمتة
• التكامل مع SIEM
• عزل تلقائي لبرامج التشغيل المكتشفة

📄 الترخيص

هذا المشروع مرخّص بموجب رخصة MIT. راجع ملف LICENSE للحصول على التفاصيل.

🙏 الإشادات

• المؤلف: bI8d0
• قاعدة البيانات: LOLDrivers.io - مشروع مجتمعي رائع يحافظ على قاعدة بيانات برامج التشغيل المعرّضة للخطر
• المجتمع: شكر خاص لجميع باحثي الأمن الذين يساهمون في LOLDrivers

التقنيات المستخدمة

• Go - لغة البرمجة
• uilive - شريط التقدّم في الوقت الفعلي
• LOLDrivers API - قاعدة بيانات برامج التشغيل المعرّضة للخطر