🛡️ DriverSentinel 🛡️

Scanner für gefährdete Windows-Treiber

DriverSentinel ist ein in Go entwickeltes Sicherheitstool, das bösartige und verwundbare Treiber auf Windows-Systemen erkennt, indem es sie mit der LOLDrivers.io Datenbank vergleicht.

Funktionen • Installation • Verwendung • So funktioniert's

✨ Funktionen

🔍 Intelligentes Scannen: Erkennt verwundbare Treiber mittels SHA256-Hash- und Dateinamenabgleich
🌐 Automatische Updates: Automatische Synchronisation mit der LOLDrivers.io-Datenbank
⚡ Hohe Leistung: Optimiertes Scannen mit In-Memory-Indizes für schnelle Suchvorgänge
📊 Echtzeit-Fortschritt: Live-Visualisierung gescannter Dateien
🎯 Kategoriebasierte Erkennung: Unterschiedliche Kriterien je nach Bedrohungstyp (bösartig vs. verwundbar)
🗂️ Mehrere Scan-Modi:
- Scannen eines bestimmten Pfads (rekursiv oder nicht-rekursiv)
- Automatisches Scannen üblicher Windows-Verzeichnisse
📝 Detaillierte Berichte: Vollständige Informationen zu erkannten Treibern, einschließlich Exploit-Befehle
🔒 Nur .sys-Dateien: Gezielte Filterung für Windows-Kernel-Treiber

💻 Anforderungen

Betriebssystem: Windows 10/11 (x64)
Berechtigungen: Administrator (erforderlich zum Scannen von Systemverzeichnissen)
Speicherplatz: ~10 MB für ausführbare Datei und Datenbank

📥 Installation

Direkter Download (Empfohlen)

Laden Sie die neueste Version von Releases herunter
Entpacken Sie die .zip-Datei
Führen Sie driversentinel.exe in einem Terminal mit Administratorrechten aus

Aus dem Quellcode

git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel
go run .\build.go

🚀 Verwendung

Grundlegende Syntax

driversentinel.exe [options]

Optionen

Option	Beschreibung
`-common`	Übliche Windows-Treiberverzeichnisse scannen (erfordert Admin)
`-path <pfad>`	Ein bestimmtes Verzeichnis scannen
`-r`	Rekursiver Modus (Unterverzeichnisse scannen)

Beispiele

1. Übliche Systemverzeichnisse scannen (Empfohlen)

driversentinel.exe -common

Scannt automatisch:

C:\Windows\System32\drivers
C:\Windows\SysWOW64\drivers
C:\Windows\System32\DriverStore\FileRepository
Und weitere kritische Verzeichnisse

2. Ein bestimmtes Verzeichnis scannen

driversentinel.exe -path C:\MeinOrdner

3. Rekursiv scannen

driversentinel.exe -path C:\MeinOrdner -r

4. Ein gesamtes Laufwerk scannen (⚠️ kann eine Weile dauern)

driversentinel.exe -path C:\ -r

🔬 So funktioniert's

1️⃣ Datenbank-Synchronisation

Beim Start führt DriverSentinel folgende Schritte aus:

Überprüft die LOLDrivers.io-Datenbank mittels ETag oder SHA256
Lädt Aktualisierungen automatisch herunter, sofern verfügbar
Verwendet eine lokale Kopie bei fehlender Internetverbindung

2️⃣ In-Memory-Indizierung

Erstellt optimierte Indizes für schnelles Suchen:

Hash-Index: SHA256 bekannter Samples
Dateinamen-Index: OriginalFilename bekannter Samples

3️⃣ Dateiscannen

Für jede gefundene .sys-Datei:

Vergleich des Dateinamens (schnelle Suche)
Bei Übereinstimmung Berechnung des SHA256
Anwendung der Erkennungslogik basierend auf der Kategorie
Meldung gefundener Übereinstimmungen

4️⃣ Ergebnisbericht

Zeigt detaillierte Informationen:

Dateipfad
SHA256-Hash
Übereinstimmungstyp (Dateiname, Hash oder beides)
Details zum verwundbaren Treiber
Bekannte Exploit-Befehle (sofern zutreffend)

📊 Erkennungsbeispiele

Programmausgabe

=== DriverSentinel - Vulnerable Driver Scanner by bI8d0 ===

[repository] Local copy is up to date
[repository] Loaded 1337 drivers
Total drivers loaded: 1337

[scanner] Indices built: 5432 hashes, 5432 filenames
[scanner] Valid extension: .sys
[scanner] Starting scan of: C:\Windows\System32\drivers

[scanner] Scanning (523 files): C:\Windows\System32\drivers\some_driver.sys
⚠ DETECTED: C:\Windows\System32\drivers\vulnerable.sys (Type: both, Category: malicious)

[scanner] Scan completed in 2.34s
[scanner] Files scanned: 523
[scanner] Vulnerabilities found: 1


⚠ ALERT: Found 1 vulnerable driver(s)
================================================================================

[1] VULNERABLE FILE DETECTED
--------------------------------------------------------------------------------
  Path:          C:\Windows\System32\drivers\vulnerable.sys
  SHA256:        abc123def456...
  Match Type:    both
  Driver ID:     vulnerable-driver-id
  Category:      malicious

  Vulnerable Driver Details:
    Original:    vulnerable.sys
    Company:     Malicious Corp
    Product:     Malicious Product
    Version:     1.0.0
    Description: Known vulnerable driver
    HVCI:        False

  Exploitation Commands:
    ─── Command 1 ───
    Use Case:     Privilege Escalation
    Privileges:   Administrator
    OS:           Windows 10/11
    Description:  Known exploit method
    Command:      sc.exe create vuln binPath= ...
    Resources:    https://example.com/advisory

================================================================================

⚡ REMEDIATION GUIDE (Requires Administrator)
================================================================================

Generic commands to remove detected vulnerable drivers:

1. Stop the driver/service (if running):
   sc.exe stop <service_name>

2. Disable the driver/service:
   sc.exe config <service_name> start= disabled

3. Delete the service:
   sc.exe delete <service_name>

4. Backup and delete the file:
   move "C:\Path\To\driver.sys" "C:\Path\To\driver.sys.malz"

5. Or delete directly (use with caution):
   del /F "C:\Path\To\driver.sys"

⚠ WARNING:
   - Removing system drivers may cause system instability or prevent boot.
   - Always create a System Restore Point before taking action.
   - Replace <service_name> with the actual service name (use 'sc.exe query' to find it).
   - Use the full path from the detection results above.

================================================================================

🔨 Aus dem Quellcode erstellen

Voraussetzungen

Go 1.24+
Windows 10/11
Git

Schritte

# Repository klonen
git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel

# Abhängigkeiten installieren
go mod download

# Erstellen
go run .\build.go

# Ausführen
.\build\driversentinel.exe -common

Optimierte Erstellung

go build -ldflags="-s -w" -o build/driversentinel.exe

🧠 Erkennungslogik

DriverSentinel wendet unterschiedliche Kriterien basierend auf der Treiberkategorie an:

🔴 Bösartige Treiber (`category: "malicious"`)

Meldet wenn: Dateiname ODER Hash stimmt überein (jede Übereinstimmung ist kritisch)
Grund: Bösartige Treiber müssen unabhängig von Umbenennungen erkannt werden

🟡 Verwundbare Treiber (`category: "vulnerable driver"`)

Meldet wenn: Dateiname UND Hash stimmen überein (beide müssen übereinstimmen)
Grund: Vermeidet Fehlalarme durch generische Namen legitimer Treiber

🟢 Andere Kategorien

Meldet für: Sicherheit (Vorsichtsmaßnahme für neue Kategorien)

Übereinstimmungstypen

Übereinstimmungstyp	Beschreibung
`filename`	Nur der Dateiname stimmt überein
`sha256`	Nur der Hash stimmt überein (umbenannte Datei)
`both`	Sowohl Dateiname als auch Hash stimmen überein (perfekte Übereinstimmung)

Verbesserungsmöglichkeiten

Unterstützung für paralleles Scannen (Goroutinen)
Berichtexport (JSON, CSV, HTML)
Grafische Benutzeroberfläche (GUI)
Lautlos-Modus für Automatisierung
SIEM-Integration
Automatische Quarantäne erkannter Treiber

📄 Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert. Weitere Details finden Sie in der LICENSE-Datei.

🙏 Danksagungen

Autor: bI8d0
Datenbank: LOLDrivers.io – Ein tolles Community-Projekt, das die Datenbank verwundbarer Treiber verwaltet
Community: Besonderer Dank gilt allen Sicherheitsforschern, die zu LOLDrivers beitragen

Verwendete Technologien

Go – Programmiersprache
uilive – Echtzeit-Fortschrittsbalken
LOLDrivers API – Datenbank verwundbarer Treiber

⚠️ Haftungsausschluss

Dieses Tool dient ausschließlich zu Bildungs- und defensiven Sicherheitszwecken. NICHT für böswillige oder illegale Aktivitäten verwenden. Der Autor übernimmt keine Verantwortung für Missbrauch dieses Tools.

Mit ❤️ und Go erstellt

Wenn es Ihnen nützlich erscheint, geben Sie ihm einen ⭐!

DriverSentinel

Beliebteste