magicsword-io/lolrmmCatálogo curado de herramientas de Remote Monitoring and Management abusadas por actores de amenazas, con perfiles YAML, reglas de detección Sigma y acceso a API para threat hunting y prevención.
Bienvenido a LOLRMM (Living Off the Land Remote Monitoring and Management), un proyecto impulsado por la comunidad que proporciona una lista curada de herramientas de monitoreo y gestión remota (RMM) y de acceso remoto que podrían ser potencialmente abusadas por actores de amenazas. Nuestra misión es ayudar a los profesionales de seguridad a mantenerse informados sobre estas herramientas y su potencial de uso indebido, proporcionando a la comunidad un catálogo que puede utilizarse para la caza de amenazas, la detección y la creación de políticas de prevención.
detections/ con indicadores de proceso y DNS derivados automáticamente de las entradas del catálogoPara comenzar a trabajar con LOLRMM:
Obtén el catálogo completo en formato JSON o CSV (no se requiere clave de API):
# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json
# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv
# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv
# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json
Consulta lolrmm.io/api/ para ver la documentación completa de la API y fuentes de datos adicionales.
Utiliza el rastreador de incidencias de GitHub para enviar errores o solicitar funcionalidades.
Mantente en contacto con la comunidad de LOLRMM revisando periódicamente las actualizaciones y contribuyendo al proyecto. Tu participación ayudará a garantizar que el proyecto se mantenga actualizado y sea aún más valioso para los demás.
Si deseas contribuir, sigue estos pasos:
Para obtener instrucciones más detalladas, consulta el archivo CONTRIBUTING.md (si está disponible). Para crear un nuevo archivo YAML para una herramienta RMM, utiliza las plantillas YAML proporcionadas en el directorio yaml.
La validación rechaza las reglas de comodín abiertas en Details.InstallationPaths y
Artifacts.Disk[].File. Los patrones de ejecutables basados únicamente en la extensión, como *.exe,
*.dll y *.msi, no son seguros ni siquiera dentro de un directorio de proveedor: los motores de políticas
de destino pueden extraer solo el nombre del archivo. Utiliza nombres de archivo verificados o patrones con un
componente de nombre de archivo específico de la herramienta, como OpsBridgeAgent.exe o Example*.exe.
Conserva la evidencia de nombres de ejecutables aleatorizados en las descripciones en lugar de añadir
una regla basada únicamente en la extensión. Los patrones de archivo comodín como *.* y * sin ámbito
también fallan la validación. Los globs de directorio con ámbito y los artefactos no ejecutables, como
C:\ProgramData\Example\* y C:\ProgramData\Example\*.log, siguen siendo compatibles.
Las comprobaciones previas a la fusión también rechazan patrones de dominio de sufijo público, hosts/publicadores compartidos sin ámbito, selectores vacíos, hashes no válidos y evidencia de certificados inconsistente. La puerta de reglas generadas reconstruye las exportaciones en un directorio temporal, comprueba los controles benignos y verifica que la normalización de origen preserve los límites de dominio y excluya los marcadores de posición. Consulta el contrato de seguridad.
Los hosts de descarga compartidos pueden permanecer en un artefacto de red con Detection: false
y un DetectionReason; se excluyen de las exportaciones CSV de dominio y Sigma.
La misma designación preserva la evidencia de firma para investigación. Los publicadores compartidos
utilizados para detección requieren CodeSigning.FileNames exactos más un
DetectionReason; los consumidores deben aplicar AND a ese ámbito de archivo con la identidad de firma.
El JSON del catálogo sin procesar conserva la evidencia contextual y estos campos. Los consumidores de políticas
deben respetarlos en lugar de tratar todos los artefactos registrados como reglas de bloqueo.
Ejecuta las mismas comprobaciones localmente antes de abrir una PR:
poetry install --no-root
poetry run python -m unittest discover -s tests
poetry run python bin/validate.py
poetry run python bin/lint_content.py
poetry run python bin/validate_generated.py
LOLRMM proporciona reglas de detección Sigma para ayudarte a detectar eficazmente posibles amenazas relacionadas con herramientas RMM. Para explorar estas reglas en detalle, navega al directorio detections/sigma/.
¡Feliz caza! 🕵️♂️
El sitio web ahora usa Astro. Desde la raíz del repositorio:
python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev
Visita http://localhost:4321. Los comandos de desarrollo/compilación regeneran automáticamente los datos y las exportaciones de detección desde /yaml. Para compilar y verificar el sitio web estático: