LOLDrivers - Living Off The Land Drivers 🚗💨

Bienvenue sur LOLDrivers (Living Off The Land Drivers), un projet open-source passionnant qui rassemble les pilotes Windows vulnérables, malveillants et connus comme malveillants dans un référentiel complet. Notre mission est de donner aux organisations de toutes tailles les connaissances et les outils nécessaires pour comprendre et traiter les risques de sécurité liés aux pilotes, rendant leurs systèmes plus sûrs et plus fiables.

Catalogue en un coup d'œil

Le catalogue LOLDrivers suit actuellement 702 entrées de pilotes (578 vulnérables, 124 malveillants) avec des preuves issues de 2 407 échantillons connus. Chaque entrée de pilote peut avoir plusieurs échantillons connus avec différents hachages, signatures et résultats HVCI. Le site en ligne affiche des métriques en temps réel, la croissance cumulative dans le temps et un explorateur de pilotes avec recherche.

Fonctionnalités clés

• Catalogue complet de pilotes : 702 entrées de pilotes couvrant les pilotes Windows vulnérables et malveillants, avec des métadonnées détaillées pour 2 407 échantillons connus
• Site propulsé par Astro : site rapide et moderne avec explorateur de pilotes avec recherche, graphiques de croissance et métriques du catalogue sur loldrivers.io
• Aperçus HVCI : preuves au niveau des échantillons du comportement de chargement malgré HVCI, aidant à évaluer l'impact des pilotes sur l'intégrité du code protégé par hyperviseur
• Flux API structurés : accès programmatique via des points de terminaison JSON et CSV à /api/drivers.json et /api/drivers.csv — voir la documentation API
• Ressources de détection : politiques Sigma, YARA, ClamAV (.hdb), Sysmon et WDAC pour le blocage et la chasse proactifs
• Compatible LLM : découvrable via /llms.txt avec des conseils pour la recherche, la vérification d'échantillons et l'intégration défensive
• Mis à jour en continu : maintenu par la communauté avec les dernières vulnérabilités de pilotes, échantillons malveillants et références de recherche

Comment LOLDrivers peut aider votre organisation

• Améliorer la visibilité sur les pilotes vulnérables au sein de votre infrastructure, favorisant une posture de sécurité renforcée
• Garder une longueur d'avance en étant informé des dernières menaces et vulnérabilités liées aux pilotes
• Identifier et traiter rapidement les risques associés aux vulnérabilités des pilotes, minimisant les dommages potentiels
• Tirer parti de la compatibilité avec Sigma pour bloquer proactivement les pilotes malveillants connus par hachage

Pour commencer

Pour commencer votre parcours avec LOLDrivers, consultez simplement le site LOLDrivers.io ou clonez le référentiel et explorez la richesse des informations disponibles dans les répertoires catégorisés. Nous avons conçu le site pour vous aider à trouver facilement les informations dont vous avez besoin pour protéger vos systèmes contre les pilotes vulnérables.

Pour vous aider à accélérer la création d'un fichier yaml, consultez loldrivers.streamlit.app

Support 📞

Veuillez utiliser le suivi des problèmes GitHub pour soumettre des bugs ou demander des fonctionnalités.

🤝 Contribuer et faire des PR

Restez engagé avec la communauté LOLDrivers en vérifiant régulièrement les mises à jour et en contribuant au projet. Votre implication aidera à garantir que le projet reste à jour et encore plus précieux pour les autres.

Rejoignez-nous dans notre quête pour créer un environnement numérique plus sûr et plus sécurisé pour les organisations du monde entier. Avec LOLDrivers à vos côtés, vous serez bien équipé pour faire face aux risques de sécurité liés aux pilotes et naviguer en toute confiance dans le paysage cybernétique en constante évolution.

Si vous souhaitez contribuer, veuillez suivre ces étapes :

1. Forkez le référentiel
2. Créez une nouvelle branche pour vos modifications
3. Effectuez vos modifications et validez-les dans votre branche
4. Poussez vos modifications vers votre fork
5. Ouvrez une Pull Request (PR) contre le référentiel upstream

Pour des instructions plus détaillées, veuillez consulter le fichier CONTRIBUTING.md. Pour créer un nouveau fichier YAML pour un pilote, utilisez le YML-Template fourni.

🚨 Détection Sigma, Yara, ClamAV et Sysmon

LOLDrivers fournit des règles de détection complètes Sigma, Yara, ClamAV et Sysmon pour vous aider à détecter efficacement les menaces potentielles. Pour explorer ces règles en détail, naviguez vers les répertoires sigma, yara, av et sysmon sous le dossier detection. Il existe également une politique WDAC grâce à Florian Stosse et HotCakeX.

Bonne chasse ! 🕵️‍♂️

🔎 Analyse des dossiers Windows

La communauté a également créé un scanner PowerShell LOLDriver grâce à @Oddvarmoe, @M_haggis et IISResetMe, qui peut vous aider à identifier des pilotes potentiellement malveillants. Le script, disponible ici, vous permet d'analyser un dossier Windows spécifié à la recherche de fichiers suspects. Nous recommandons d'exécuter le script sur des répertoires tels que :

C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository

🏗️ Compilation et tests en local

Le site principal utilise Astro dans website/. Consultez ce guide pour la configuration de Node 24 / Python 3.11, la génération de l'API publique, les aperçus locaux et les vérifications dans le navigateur. Hugo et Go ne sont plus nécessaires pour compiler ou déployer le site web.

Le workflow Deploy Site valide les artefacts de production sur les pull requests et publie l'artefact Astro testé sur GitHub Pages après un push vers main. Le workflow d'aperçu séparé maintient les analytics désactivés. Les releases taguées empaquettent les téléchargements de pilotes sans déployer de site web.

Consultez le guide de migration en production et de rollback pour le contrat d'URL et les travaux de maintenance restants.