LOLDrivers - Living Off The Land Drivers 🚗💨

Willkommen bei LOLDrivers (Living Off The Land Drivers), einem spannenden Open-Source-Projekt, das verwundbare, bösartige und bekannte bösartige Windows-Treiber in einem umfassenden Repository vereint. Unsere Mission ist es, Organisationen jeder Größe mit dem Wissen und den Werkzeugen auszustatten, um treiberbezogene Sicherheitsrisiken zu verstehen und zu beheben, damit ihre Systeme sicherer und zuverlässiger werden.

Katalog auf einen Blick

Der LOLDrivers-Katalog verfolgt derzeit 702 Treibereinträge (578 verwundbar, 124 bösartig) mit Nachweisen aus 2.407 bekannten Samples. Jeder Treibereintrag kann mehrere bekannte Samples mit unterschiedlichen Hashes, Signaturen und HVCI-Ergebnissen haben. Die Live-Seite zeigt Echtzeit-Metriken, kumulatives Wachstum im Zeitverlauf und einen durchsuchbaren Treiber-Explorer.

Hauptmerkmale

• Umfassender Treiberkatalog: 702 Treibereinträge für verwundbare und bösartige Windows-Treiber, mit detaillierten Metadaten für 2.407 bekannte Samples
• Astro-basierte Website: Schnelle, moderne Seite mit durchsuchbarem Treiber-Explorer, Wachstumsdiagrammen und Katalogmetriken unter loldrivers.io
• HVCI-Einblicke: Nachweise auf Sample-Ebene für Ladeverhalten trotz HVCI, um die Auswirkungen von Treibern auf hypervisor-geschützte Codeintegrität zu bewerten
• Strukturierte API-Feeds: Programmatischer Zugriff über JSON- und CSV-Endpunkte unter /api/drivers.json und /api/drivers.csv — siehe API-Dokumentation
• Erkennungsressourcen: Sigma, YARA, ClamAV (.hdb), Sysmon und WDAC-Richtlinien für proaktive Blockierung und Hunting
• LLM-freundlich: Auffindbar über /llms.txt mit Anleitungen für Recherche, Sample-Verifizierung und defensive Integration
• Kontinuierlich aktualisiert: Community-gepflegt mit den neuesten Treiberschwachstellen, bösartigen Samples und Forschungsreferenzen

Wie LOLDrivers Ihrer Organisation helfen kann

• Verbessern Sie die Sichtbarkeit verwundbarer Treiber in Ihrer Infrastruktur und fördern Sie eine stärkere Sicherheitsposition
• Bleiben Sie der Entwicklung voraus, indem Sie über die neuesten treiberbezogenen Bedrohungen und Schwachstellen informiert sind
• Identifizieren und beheben Sie schnell Risiken im Zusammenhang mit Treiberschwachstellen und minimieren Sie potenzielle Schäden
• Nutzen Sie die Kompatibilität mit Sigma, um bekannte bösartige Treiber proaktiv per Hash zu blockieren

Erste Schritte

Um Ihre Reise mit LOLDrivers zu beginnen, besuchen Sie einfach die Seite LOLDrivers.io oder klonen Sie das Repository und erkunden Sie die Fülle an Informationen, die in den kategorisierten Verzeichnissen verfügbar sind. Wir haben die Seite so gestaltet, dass Sie leicht die Erkenntnisse finden, die Sie benötigen, um Ihre Systeme vor verwundbaren Treibern zu schützen.

Um die Erstellung einer YAML-Datei zu beschleunigen, schauen Sie sich loldrivers.streamlit.app an

Support 📞

Bitte verwenden Sie den GitHub Issue Tracker, um Fehler zu melden oder Funktionen anzufordern.

🤝 Mitwirken & PRs erstellen

Bleiben Sie mit der LOLDrivers-Community in Kontakt, indem Sie regelmäßig nach Updates suchen und zum Projekt beitragen. Ihr Engagement wird dazu beitragen, dass das Projekt aktuell bleibt und für andere noch wertvoller wird.

Schließen Sie sich uns bei unserem Bestreben an, eine sicherere und geschütztere digitale Umgebung für Organisationen überall zu schaffen. Mit LOLDrivers an Ihrer Seite sind Sie gut gerüstet, um treiberbezogene Sicherheitsrisiken zu bewältigen und sich souverän in der sich ständig weiterentwickelnden Cyber-Landschaft zu bewegen.

Wenn Sie beitragen möchten, folgen Sie bitte diesen Schritten:

1. Forken Sie das Repository
2. Erstellen Sie einen neuen Branch für Ihre Änderungen
3. Nehmen Sie Ihre Änderungen vor und committen Sie sie in Ihren Branch
4. Pushen Sie Ihre Änderungen in Ihren Fork
5. Öffnen Sie einen Pull Request (PR) gegen das Upstream-Repository

Für detailliertere Anweisungen lesen Sie bitte die Datei CONTRIBUTING.md. Um eine neue YAML-Datei für einen Treiber zu erstellen, verwenden Sie die bereitgestellte YML-Template.

🚨 Sigma-, Yara-, ClamAV- und Sysmon-Erkennung

LOLDrivers bietet umfassende Sigma-, Yara-, ClamAV- und Sysmon-Erkennungsregeln, um Ihnen zu helfen, potenzielle Bedrohungen effektiv zu erkennen. Um diese Regeln im Detail zu erkunden, navigieren Sie zu den Verzeichnissen sigma, yara, av und sysmon unter dem detection-Ordner. Außerdem gibt es eine WDAC-Richtlinie dank Florian Stosse und HotCakeX.

Viel Erfolg bei der Jagd! 🕵️‍♂️

🔎 Windows-Ordner-Scan

Die Community hat außerdem einen PowerShell-LOLDriver-Scanner erstellt, der auf @Oddvarmoe, @M_haggis und IISResetMe zurückgeht und Ihnen helfen kann, potenziell bösartige Treiber zu identifizieren. Das Skript, verfügbar hier, ermöglicht es Ihnen, einen angegebenen Windows-Ordner nach verdächtigen Dateien zu durchsuchen. Wir empfehlen, das Skript auf Verzeichnissen wie den folgenden auszuführen:

C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository

🏗️ Lokales Bauen und Testen

Die Hauptwebsite verwendet Astro in website/. Siehe diese Anleitung für die Einrichtung von Node 24 / Python 3.11, die Generierung der öffentlichen API, lokale Vorschauen und Browser-Checks. Hugo und Go sind nicht mehr erforderlich, um die Website zu bauen oder bereitzustellen.

Der Workflow Deploy Site validiert Produktionsartefakte bei Pull Requests und veröffentlicht das getestete Astro-Artefakt nach einem Push auf main auf GitHub Pages. Der separate Vorschau-Workflow hält die Analytik deaktiviert. Getaggte Releases packen Treiber-Downloads, ohne eine Website bereitzustellen.

Siehe den Leitfaden zur Produktionsmigration und zum Rollback für den URL-Vertrag und die verbleibenden Wartungsarbeiten.