magicsword-io/lolrmmCatalogo curato di strumenti di Remote Monitoring and Management sfruttati da attori malevoli, con profili YAML, regole di rilevamento Sigma e accesso API per il threat hunting e la prevenzione.
Benvenuti in LOLRMM (Living Off the Land Remote Monitoring and Management), un progetto guidato dalla community che fornisce un elenco curato di strumenti di Remote Monitoring and Management (RMM) e di accesso remoto che potrebbero essere potenzialmente abusati da attori malevoli. La nostra missione è aiutare i professionisti della sicurezza a rimanere informati su questi strumenti e sul loro potenziale di uso improprio, fornendo alla community un catalogo utilizzabile per il threat hunting, il rilevamento e la creazione di politiche di prevenzione.
detections/ con indicatori di processo e DNS derivati automaticamente dalle voci del catalogoPer iniziare a lavorare con LOLRMM:
Recupera il catalogo completo in formato JSON o CSV (nessuna chiave API richiesta):
# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json
# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv
# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv
# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json
Consulta lolrmm.io/api/ per la documentazione completa dell'API e feed aggiuntivi.
Utilizza il GitHub issue tracker per segnalare bug o richiedere funzionalità.
Rimani coinvolto nella community di LOLRMM controllando regolarmente gli aggiornamenti e contribuendo al progetto. La tua partecipazione contribuirà a garantire che il progetto rimanga aggiornato e ancora più prezioso per gli altri.
Se desideri contribuire, segui questi passaggi:
Per istruzioni più dettagliate, consulta il file CONTRIBUTING.md (se disponibile). Per creare un nuovo file YAML per uno strumento RMM, utilizza i template YAML forniti nella directory yaml.
La validazione rifiuta le regole wildcard aperte in Details.InstallationPaths e
Artifacts.Disk[].File. I pattern eseguibili basati solo sull'estensione come *.exe,
*.dll e *.msi non sono sicuri nemmeno all'interno di una directory del fornitore: i motori
di policy downstream potrebbero estrarre solo il nome del file. Utilizza nomi file verificati o pattern con un
componente del nome file specifico dello strumento, come OpsBridgeAgent.exe o Example*.exe.
Conserva l'evidenza di nomi eseguibili randomizzati nelle descrizioni anziché aggiungere
una regola basata solo sull'estensione. Anche i pattern catch-all come *.* e * non circoscritti
falliscono la validazione. I glob di directory circoscritti e gli artefatti non eseguibili
come C:\ProgramData\Example\* e C:\ProgramData\Example\*.log restano supportati.
I controlli pre-merge rifiutano inoltre pattern di dominio con suffisso pubblico, host/publisher condivisi non circoscritti, selettori vuoti, hash non validi ed evidenze di certificati incoerenti. Il gate delle regole generate ricostruisce le esportazioni in una directory temporanea, verifica i controlli benigni e verifica che la normalizzazione della sorgente preservi i confini dei domini ed escluda i placeholder. Consulta il contratto di sicurezza.
Gli host di download condivisi possono rimanere in un artefatto di rete con Detection: false
e un DetectionReason; sono esclusi dalle esportazioni CSV dei domini e Sigma.
La stessa designazione preserva l'evidenza di firma per la ricerca. I publisher condivisi
utilizzati per il rilevamento richiedono CodeSigning.FileNames esatti più un
DetectionReason; i consumatori devono applicare un AND tra tale ambito di file e l'identità di firma.
Il JSON del catalogo grezzo conserva l'evidenza contestuale e questi campi. I consumatori di policy
devono rispettarli anziché trattare tutti gli artefatti registrati come regole di blocco.
Esegui gli stessi controlli localmente prima di aprire una PR:
poetry install --no-root
poetry run python -m unittest discover -s tests
poetry run python bin/validate.py
poetry run python bin/lint_content.py
poetry run python bin/validate_generated.py
LOLRMM fornisce regole di rilevamento Sigma per aiutarti a individuare efficacemente potenziali minacce legate agli strumenti RMM. Per esplorare queste regole in dettaglio, vai alla directory detections/sigma/.
Buona caccia! 🕵️♂️
Il sito web ora utilizza Astro. Dalla radice del repository:
python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev
Visita http://localhost:4321. I comandi dev/build rigenerano automaticamente i dati e le esportazioni di rilevamento da /yaml. Per compilare e verificare il sito web statico:
npm run check
npm run build
npx playwright install chromium
npm test
L'output viene scritto in website/dist/. Consulta website/README.md
per le route dei dati, la metodologia dei grafici, la configurazione di analytics e i dettagli di deployment.