magicsword-io/loldriversBase de datos curada de controladores de Windows vulnerables y maliciosos con reglas de detección YARA, Sigma, ClamAV y Sysmon para la búsqueda proactiva de amenazas y la respuesta a incidentes.
Bienvenido a LOLDrivers (Living Off The Land Drivers), un emocionante proyecto de código abierto que reúne controladores de Windows vulnerables, maliciosos y conocidos como maliciosos en un único repositorio integral. Nuestra misión es capacitar a organizaciones de todos los tamaños con el conocimiento y las herramientas para comprender y abordar los riesgos de seguridad relacionados con los controladores, haciendo que sus sistemas sean más seguros y confiables.
El catálogo de LOLDrivers actualmente rastrea 702 entradas de controladores (578 vulnerables, 124 maliciosos) con evidencia de 2,407 muestras conocidas. Cada entrada de controlador puede tener múltiples muestras conocidas con diferentes hashes, firmas y resultados de HVCI. El sitio en vivo muestra métricas en tiempo real, crecimiento acumulativo a lo largo del tiempo y un explorador de controladores con búsqueda.
/api/drivers.json y /api/drivers.csv — consulte la documentación de la API/llms.txt con orientación para investigación, verificación de muestras e integración defensivaPara comenzar su recorrido con LOLDrivers, simplemente consulte el sitio LOLDrivers.io o clone el repositorio y explore la riqueza de información disponible en los directorios categorizados. Hemos diseñado el sitio para ayudarle a encontrar fácilmente la información que necesita para proteger sus sistemas de controladores vulnerables.
Para ayudar a acelerar la creación de un archivo yaml, consulte loldrivers.streamlit.app
Utilice el rastreador de problemas de GitHub para enviar errores o solicitar funciones.
Manténgase involucrado con la comunidad de LOLDrivers revisando regularmente las actualizaciones y contribuyendo al proyecto. Su participación ayudará a garantizar que el proyecto se mantenga actualizado y sea aún más valioso para los demás.
Únase a nosotros en nuestra misión de crear un entorno digital más seguro y protegido para organizaciones de todo el mundo. Con LOLDrivers a su lado, estará bien equipado para abordar los riesgos de seguridad relacionados con los controladores y navegar con confianza por el panorama cibernético en constante evolución.
Si desea contribuir, siga estos pasos:
Para obtener instrucciones más detalladas, consulte el archivo CONTRIBUTING.md. Para crear un nuevo archivo YAML para un controlador, utilice la plantilla YML proporcionada.
LOLDrivers proporciona reglas de detección completas para Sigma, Yara, ClamAV y Sysmon que le ayudarán a detectar posibles amenazas de forma eficaz. Para explorar estas reglas en detalle, navegue a los directorios sigma, yara, av y sysmon dentro de la carpeta de detecciones. Además, existe una política WDAC gracias a Florian Stosse y HotCakeX.
¡Feliz caza! 🕵️♂️
La comunidad también ha creado un escáner de LOLDriver en PowerShell gracias a @Oddvarmoe, @M_haggis e IISResetMe, que puede ayudarle a identificar controladores potencialmente maliciosos. El script, disponible aquí, le permite escanear una carpeta de Windows especificada en busca de archivos sospechosos. Recomendamos ejecutar el script en directorios como:
C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository
El sitio web principal utiliza Astro en website/. Consulta esa guía para la configuración de Node 24 / Python 3.11, la generación de la API pública, las vistas previas locales y las comprobaciones en el navegador. Ya no se requiere Hugo ni Go para compilar o desplegar el sitio web.
El flujo de trabajo Deploy Site valida los artefactos de producción en las solicitudes de extracción y publica el artefacto de Astro probado en GitHub Pages tras un push a main. El flujo de trabajo de vista previa independiente mantiene la analítica deshabilitada. Las versiones etiquetadas empaquetan las descargas del controlador sin desplegar un sitio web.
Consulta la guía de migración a producción y reversión para conocer el contrato de URL y el trabajo de mantenimiento restante.