LOLDrivers - Living Off The Land Drivers 🚗💨

Benvenuti in LOLDrivers (Living Off The Land Drivers), un entusiasmante progetto open-source che riunisce driver Windows vulnerabili, malevoli e noti come malevoli in un unico repository completo. La nostra missione è fornire a organizzazioni di ogni dimensione le conoscenze e gli strumenti per comprendere e affrontare i rischi di sicurezza legati ai driver, rendendo i loro sistemi più sicuri e affidabili.

Il catalogo in breve

Il catalogo LOLDrivers attualmente tiene traccia di 702 voci di driver (578 vulnerabili, 124 malevoli) con evidenze provenienti da 2.407 campioni noti. Ogni voce di driver può avere più campioni noti con hash, firme e risultati HVCI diversi. Il sito live mostra metriche in tempo reale, crescita cumulativa nel tempo e un esploratore di driver ricercabile.

Caratteristiche principali

• Catalogo completo di driver: 702 voci di driver che coprono driver Windows vulnerabili e malevoli, con metadati dettagliati per 2.407 campioni noti
• Sito web basato su Astro: sito veloce e moderno con esploratore di driver ricercabile, grafici di crescita e metriche del catalogo su loldrivers.io
• Approfondimenti HVCI: evidenze a livello di campione del comportamento di caricamento nonostante HVCI, che aiutano a valutare l'impatto dei driver sull'integrità del codice protetta dall'hypervisor
• Feed API strutturati: accesso programmatico tramite endpoint JSON e CSV su /api/drivers.json e /api/drivers.csv — consulta la documentazione API
• Risorse di rilevamento: policy Sigma, YARA, ClamAV (.hdb), Sysmon e WDAC per il blocco proattivo e l'hunting
• Compatibile con LLM: individuabile tramite /llms.txt con indicazioni per la ricerca, la verifica dei campioni e l'integrazione difensiva
• Aggiornato continuamente: mantenuto dalla community con le ultime vulnerabilità dei driver, campioni malevoli e riferimenti di ricerca

Come LOLDrivers può aiutare la tua organizzazione

• Migliora la visibilità sui driver vulnerabili all'interno della tua infrastruttura, favorendo una postura di sicurezza più solida
• Resta al passo con le ultime minacce e vulnerabilità legate ai driver
• Identifica e affronta rapidamente i rischi associati alle vulnerabilità dei driver, riducendo al minimo i potenziali danni
• Sfrutta la compatibilità con Sigma per bloccare proattivamente i driver malevoli noti tramite hash

Per iniziare

Per iniziare il tuo percorso con LOLDrivers, visita semplicemente il sito LOLDrivers.io oppure clona il repository ed esplora la ricchezza di informazioni disponibili nelle directory categorizzate. Abbiamo progettato il sito per aiutarti a trovare facilmente le informazioni di cui hai bisogno per proteggere i tuoi sistemi dai driver vulnerabili.

Per facilitare la creazione di un file yaml, dai un'occhiata a loldrivers.streamlit.app

Supporto 📞

Utilizza il GitHub issue tracker per segnalare bug o richiedere funzionalità.

🤝 Contribuire e creare PR

Resta in contatto con la community di LOLDrivers controllando regolarmente gli aggiornamenti e contribuendo al progetto. Il tuo coinvolgimento aiuterà a garantire che il progetto rimanga aggiornato e ancora più prezioso per gli altri.

Unisciti a noi nella nostra missione di creare un ambiente digitale più sicuro e protetto per le organizzazioni di tutto il mondo. Con LOLDrivers al tuo fianco, sarai ben equipaggiato per affrontare i rischi di sicurezza legati ai driver e navigare con fiducia nel panorama informatico in continua evoluzione.

Se desideri contribuire, segui questi passaggi:

1. Fai un fork del repository
2. Crea un nuovo branch per le tue modifiche
3. Apporta le tue modifiche e committale nel tuo branch
4. Esegui il push delle tue modifiche sul tuo fork
5. Apri una Pull Request (PR) contro il repository upstream

Per istruzioni più dettagliate, fare riferimento al file CONTRIBUTING.md. Per creare un nuovo file YAML per un driver, utilizzare il YML-Template fornito.

🚨 Rilevamento Sigma, Yara, ClamAV e Sysmon

LOLDrivers fornisce regole di rilevamento complete per Sigma, Yara, ClamAV e Sysmon per aiutarti a rilevare efficacemente potenziali minacce. Per esplorare queste regole in dettaglio, naviga nelle directory sigma, yara, av e sysmon sotto la cartella detection. È inoltre disponibile una policy WDAC grazie a Florian Stosse e HotCakeX.

Buona caccia! 🕵️‍♂️

🔎 Scansione delle cartelle di Windows

La community ha anche creato uno scanner PowerShell per LOLDriver, offerto da @Oddvarmoe, @M_haggis e IISResetMe, che può aiutarti a identificare driver potenzialmente malevoli. Lo script, disponibile qui, consente di scansionare una cartella di Windows specificata alla ricerca di file sospetti. Consigliamo di eseguire lo script su directory come:

C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository

🏗️ Compilazione e test in locale

Il sito web principale utilizza Astro in website/. Consulta quella guida per la configurazione di Node 24 / Python 3.11, la generazione delle API pubbliche, le anteprime locali e i controlli nel browser. Hugo e Go non sono più necessari per compilare o distribuire il sito web.

Il workflow Deploy Site convalida gli artefatti di produzione sulle pull request e pubblica l'artefatto Astro testato su GitHub Pages dopo un push su main. Il workflow di anteprima separato mantiene le analitiche disabilitate. Le release con tag impacchettano i download dei driver senza distribuire un sito web.

Consulta la guida alla migrazione in produzione e al rollback per il contratto degli URL e il lavoro di manutenzione rimanente.