magicsword-io/lolrmmKuratierter Katalog von Remote-Monitoring- und Management-Tools, die von Bedrohungsakteuren missbraucht werden, mit YAML-Profilen, Sigma-Erkennungsregeln und API-Zugriff für Threat Hunting und Prävention.
Willkommen bei LOLRMM (Living Off the Land Remote Monitoring and Management), einem community-getriebenen Projekt, das eine kuratierte Liste von Remote-Monitoring-and-Management-(RMM-) und Fernzugriffstools bereitstellt, die potenziell von Bedrohungsakteuren missbraucht werden könnten. Unsere Mission ist es, Sicherheitsfachleuten dabei zu helfen, über diese Tools und ihr Missbrauchspotenzial informiert zu bleiben, und der Community einen Katalog an die Hand zu geben, der für Threat Hunting, Erkennung und die Erstellung von Präventionsrichtlinien genutzt werden kann.
detections/ mit Prozess- und DNS-Indikatoren, die automatisch aus Katalogeinträgen abgeleitet werdenSo beginnen Sie mit LOLRMM:
Rufen Sie den vollständigen Katalog im JSON- oder CSV-Format ab (kein API-Schlüssel erforderlich):
# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json
# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv
# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv
# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json
Siehe lolrmm.io/api/ für die vollständige API-Dokumentation und zusätzliche Feeds.
Bitte verwenden Sie den GitHub-Issue-Tracker, um Fehler zu melden oder Funktionen anzufordern.
Bleiben Sie mit der LOLRMM-Community in Kontakt, indem Sie regelmäßig nach Updates suchen und zum Projekt beitragen. Ihre Beteiligung trägt dazu bei, dass das Projekt aktuell bleibt und für andere noch wertvoller wird.
Wenn Sie beitragen möchten, folgen Sie bitte diesen Schritten:
Detailliertere Anweisungen finden Sie in der Datei CONTRIBUTING.md (falls vorhanden). Um eine neue YAML-Datei für ein RMM-Tool zu erstellen, verwenden Sie die bereitgestellten YAML-Vorlagen im Verzeichnis yaml.
Die Validierung lehnt offene Wildcard-Regeln in Details.InstallationPaths und
Artifacts.Disk[].File ab. Muster für ausführbare Dateien, die nur auf einer Erweiterung basieren, wie *.exe,
*.dll und *.msi, sind selbst innerhalb eines Herstellerverzeichnisses unsicher: Downstream-Policy-
Engines extrahieren möglicherweise nur den Dateinamen. Verwenden Sie verifizierte Dateinamen oder Muster mit einer
tool-spezifischen Dateinamenkomponente, wie OpsBridgeAgent.exe oder Example*.exe.
Bewahren Sie Belege für randomisierte Namen ausführbarer Dateien in Beschreibungen auf, anstatt eine
Regel hinzuzufügen, die nur auf einer Erweiterung basiert. Catch-all-Dateimuster wie *.* und nicht eingegrenzte *
bestehen die Validierung ebenfalls nicht. Eingegrenzte Verzeichnis-Globs und nicht ausführbare Artefakte
wie C:\ProgramData\Example\* und C:\ProgramData\Example\*.log bleiben weiterhin unterstützt.
Vor dem Merge durchgeführte Prüfungen lehnen außerdem Domain-Muster mit öffentlichem Suffix, nicht eingegrenzte gemeinsam genutzte Hosts/Publisher, leere Selektoren, ungültige Hashes und inkonsistente Zertifikats- nachweise ab. Das Gate für generierte Regeln baut Exporte in einem temporären Verzeichnis neu auf, prüft harmlose Kontrollen und verifiziert, dass die Quellnormalisierung Domain- grenzen beibehält und Platzhalter ausschließt. Siehe den Sicherheitsvertrag.
Gemeinsam genutzte Download-Hosts können in einem Netzwerk-Artefakt mit Detection: false
und einem DetectionReason verbleiben; sie werden aus den Domain-CSV- und Sigma-Exporten ausgeschlossen.
Dieselbe Kennzeichnung bewahrt Signierungsnachweise für die Forschung. Gemeinsam genutzte Publisher,
die für die Erkennung verwendet werden, erfordern exakte CodeSigning.FileNames plus einen
DetectionReason; Konsumenten müssen diesen Dateibereich mit der Signierungsidentität per AND verknüpfen.
Das rohe Katalog-JSON behält kontextuelle Nachweise und diese Felder bei. Policy-Konsumenten
müssen diese berücksichtigen, anstatt alle erfassten Artefakte als Blockierungsregeln zu behandeln.
Führen Sie dieselben Prüfungen lokal aus, bevor Sie einen PR öffnen:
poetry install --no-root
poetry run python -m unittest discover -s tests
poetry run python bin/validate.py
poetry run python bin/lint_content.py
poetry run python bin/validate_generated.py
LOLRMM bietet Sigma-Erkennungsregeln, mit denen Sie potenzielle Bedrohungen im Zusammenhang mit RMM-Tools effektiv erkennen können. Um diese Regeln im Detail zu erkunden, navigieren Sie zum Verzeichnis detections/sigma/.
Viel Erfolg bei der Jagd! 🕵️♂️
Die Website verwendet jetzt Astro. Vom Stammverzeichnis des Repositorys aus:
python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev
Besuche http://localhost:4321. Die dev/build-Befehle generieren Daten und Detection-Exporte aus /yaml automatisch neu. Um die statische Website zu bauen und zu verifizieren: