🛡️ DriverSentinel 🛡️

Scanner di Driver Windows Vulnerabili

DriverSentinel è uno strumento di sicurezza sviluppato in Go che rileva driver dannosi e vulnerabili sui sistemi Windows confrontandoli con il database LOLDrivers.io.

Caratteristiche • Installazione • Utilizzo • Come Funziona

📋 Indice dei Contenuti

Caratteristiche
Requisiti
Installazione
Utilizzo
Come Funziona
Esempi di Rilevamento
Compilazione dal Sorgente
Logica di Rilevamento
Licenza
Crediti

✨ Caratteristiche

🔍 Scansione Intelligente: Rileva driver vulnerabili tramite corrispondenza di hash SHA256 e nome file
🌐 Aggiornamenti Automatici: Sincronizzazione automatica con il database LOLDrivers.io
⚡ Alte Prestazioni: Scansione ottimizzata con indici in memoria per ricerche rapide
📊 Avanzamento in Tempo Reale: Visualizzazione live dei file scansionati
🎯 Rilevamento per Categoria: Criteri diversi in base al tipo di minaccia (dannoso vs. vulnerabile)
🗂️ Modalità di Scansione Multiple:
- Scansione di un percorso specifico (ricorsiva o non ricorsiva)
- Scansione automatica delle posizioni comuni di Windows
📝 Report Dettagliati: Informazioni complete sui driver rilevati, inclusi i comandi di sfruttamento
🔒 Solo File .sys: Filtro specifico per i driver kernel di Windows

💻 Requisiti

Sistema Operativo: Windows 10/11 (x64)
Privilegi: Amministratore (richiesto per scansionare le posizioni di sistema)
Spazio: ~10 MB per eseguibile e database

📥 Installazione

Download Diretto (Consigliato)

Scarica l'ultima versione da Releases
Estrai il file .zip
Esegui driversentinel.exe da un terminale con privilegi di amministratore

Dal Sorgente

git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel
go run .\build.go

🚀 Utilizzo

Sintassi di Base

driversentinel.exe [options]

Opzioni

Opzione	Descrizione
`-common`	Scansiona le posizioni comuni dei driver di Windows (richiede Admin)
`-path <path>`	Scansiona una directory specifica
`-r`	Modalità ricorsiva (scansiona le sottodirectory)

Esempi

1. Scansione delle posizioni di sistema comuni (Consigliato)

driversentinel.exe -common

Scansiona automaticamente:

C:\Windows\System32\drivers
C:\Windows\SysWOW64\drivers
C:\Windows\System32\DriverStore\FileRepository
E altre posizioni critiche

2. Scansione di una directory specifica

driversentinel.exe -path C:\MyFolder

3. Scansione ricorsiva

driversentinel.exe -path C:\MyFolder -r

4. Scansione di un intero drive (⚠️ potrebbe richiedere tempo)

driversentinel.exe -path C:\ -r

🔬 Come Funziona

1️⃣ Sincronizzazione del Database

All'avvio, DriverSentinel:

Controlla il database LOLDrivers.io utilizzando ETag o SHA256
Scarica automaticamente gli aggiornamenti se disponibili
Utilizza una copia locale se non c'è connessione internet

2️⃣ Indicizzazione in Memoria

Costruisce indici ottimizzati per una ricerca rapida:

Indice Hash: SHA256 dei campioni noti
Indice Nome File: OriginalFilename dei campioni noti

3️⃣ Scansione dei File

Per ogni file .sys trovato:

Confronta il nome file (ricerca rapida)
Se c'è una corrispondenza, calcola lo SHA256
Applica la logica di rilevamento in base alla categoria
Segnala le corrispondenze trovate

4️⃣ Report dei Risultati

Mostra informazioni dettagliate:

Percorso del file
Hash SHA256
Tipo di corrispondenza (nome file, hash, o entrambi)
Dettagli del driver vulnerabile
Comandi di sfruttamento noti (se applicabile)

📊 Esempi di Rilevamento

Output del Programma

=== DriverSentinel - Vulnerable Driver Scanner by bI8d0 ===

[repository] Local copy is up to date
[repository] Loaded 1337 drivers
Total drivers loaded: 1337

[scanner] Indices built: 5432 hashes, 5432 filenames
[scanner] Valid extension: .sys
[scanner] Starting scan of: C:\Windows\System32\drivers

[scanner] Scanning (523 files): C:\Windows\System32\drivers\some_driver.sys
⚠ DETECTED: C:\Windows\System32\drivers\vulnerable.sys (Type: both, Category: malicious)

[scanner] Scan completed in 2.34s
[scanner] Files scanned: 523
[scanner] Vulnerabilities found: 1


⚠ ALERT: Found 1 vulnerable driver(s)
================================================================================

[1] VULNERABLE FILE DETECTED
--------------------------------------------------------------------------------
  Path:          C:\Windows\System32\drivers\vulnerable.sys
  SHA256:        abc123def456...
  Match Type:    both
  Driver ID:     vulnerable-driver-id
  Category:      malicious

  Vulnerable Driver Details:
    Original:    vulnerable.sys
    Company:     Malicious Corp
    Product:     Malicious Product
    Version:     1.0.0
    Description: Known vulnerable driver
    HVCI:        False

  Exploitation Commands:
    ─── Command 1 ───
    Use Case:     Privilege Escalation
    Privileges:   Administrator
    OS:           Windows 10/11
    Description:  Known exploit method
    Command:      sc.exe create vuln binPath= ...
    Resources:    https://example.com/advisory

================================================================================

⚡ REMEDIATION GUIDE (Requires Administrator)
================================================================================

Generic commands to remove detected vulnerable drivers:

1. Stop the driver/service (if running):
   sc.exe stop <service_name>

2. Disable the driver/service:
   sc.exe config <service_name> start= disabled

3. Delete the service:
   sc.exe delete <service_name>

4. Backup and delete the file:
   move "C:\Path\To\driver.sys" "C:\Path\To\driver.sys.malz"

5. Or delete directly (use with caution):
   del /F "C:\Path\To\driver.sys"

⚠ WARNING:
   - Removing system drivers may cause system instability or prevent boot.
   - Always create a System Restore Point before taking action.
   - Replace <service_name> with the actual service name (use 'sc.exe query' to find it).
   - Use the full path from the detection results above.

================================================================================

🔨 Compilazione dal Sorgente

Prerequisiti

Go 1.24+
Windows 10/11
Git

Passaggi

# Clone the repository
git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel

# Install dependencies
go mod download

# Build
go run .\build.go

# Run
.\build\driversentinel.exe -common

Build Ottimizzata

go build -ldflags="-s -w" -o build/driversentinel.exe

🧠 Logica di Rilevamento

DriverSentinel applica criteri diversi in base alla categoria del driver:

🔴 Driver Dannosi (`category: "malicious"`)

Segnala se: Corrispondenza del nome file O dell'hash (qualsiasi corrispondenza è critica)
Motivo: I driver dannosi devono essere rilevati indipendentemente dalla rinomina

DriverSentinel

Più Popolari