LOLDrivers - Living Off The Land Drivers 🚗💨

LOLDrivers（Living Off The Land Drivers）へようこそ。これは、脆弱なドライバー、悪意のあるドライバー、および既知の悪意のあるWindowsドライバーを1つの包括的なリポジトリにまとめた、エキサイティングなオープンソースプロジェクトです。私たちの使命は、あらゆる規模の組織に、ドライバー関連のセキュリティリスクを理解し対処するための知識とツールを提供し、システムをより安全で信頼性の高いものにすることです。

カタログの概要

LOLDriversカタログは現在、702件のドライバーエントリ（脆弱なもの578件、悪意のあるもの124件）を追跡しており、2,407件の既知のサンプルからの証拠を含んでいます。各ドライバーエントリは、異なるハッシュ、署名、HVCI結果を持つ複数の既知のサンプルを持つことができます。ライブサイトでは、リアルタイムのメトリクス、時間の経過に伴う累積的な増加、検索可能なドライバーエクスプローラーを表示しています。

主な機能

• 包括的なドライバーカタログ: 脆弱なWindowsドライバーと悪意のあるWindowsドライバーを網羅する702件のドライバーエントリと、2,407件の既知のサンプルに関する詳細なメタデータ
• Astro搭載のウェブサイト: loldrivers.ioで、検索可能なドライバーエクスプローラー、増加グラフ、カタログメトリクスを備えた高速でモダンなサイト
• HVCIインサイト: HVCIにもかかわらず読み込まれる動作のサンプルレベルの証拠により、ハイパーバイザーで保護されたコード整合性に対するドライバーの影響を評価するのに役立ちます
• 構造化されたAPIフィード: /api/drivers.jsonおよび/api/drivers.csvエンドポイントを介したプログラムによるアクセス — APIドキュメントを参照
• 検出リソース: プロアクティブなブロックとハンティングのためのSigma、YARA、ClamAV（.hdb）、Sysmon、およびWDACポリシー
• LLMフレンドリー: /llms.txtを介して発見可能で、調査、サンプル検証、防御的統合のためのガイダンスを提供
• 継続的に更新: 最新のドライバー脆弱性、悪意のあるサンプル、研究参考文献を備えたコミュニティ維持型

LOLDriversが組織を支援する方法

• インフラストラクチャ内の脆弱なドライバーに対する可視性を高め、より強固なセキュリティ体制を促進します
• 最新のドライバー関連の脅威と脆弱性について情報を得ることで、一歩先を行くことができます
• ドライバー脆弱性に関連するリスクを迅速に特定して対処し、潜在的な損害を最小限に抑えます
• Sigmaとの互換性を活用して、既知の悪意のあるドライバーをハッシュでプロアクティブにブロックします

はじめに

LOLDriversを始めるには、LOLDrivers.ioサイトをチェックするか、リポジトリをクローンして、分類されたディレクトリで利用可能な豊富な情報を探索してください。私たちは、脆弱なドライバーからシステムを保護するために必要なインサイトを簡単に見つけられるようにサイトを設計しました。

yamlファイルの作成を迅速化するには、loldrivers.streamlit.appをチェックしてください。

サポート 📞

バグの報告や機能のリクエストには、GitHub issue trackerをご利用ください。

🤝 コントリビューションとPRの作成

定期的に更新を確認し、プロジェクトに貢献することで、LOLDriversコミュニティと関わり続けてください。あなたの参加は、プロジェクトが最新の状態を保ち、他の人々にとってさらに価値のあるものになるのに役立ちます。

世界中の組織にとって、より安全でセキュアなデジタル環境を創造するという私たちの探求にご参加ください。LOLDriversがあれば、ドライバー関連のセキュリティリスクに取り組み、絶えず進化するサイバーランドスケープを自信を持ってナビゲートするための十分な装備が整います。

貢献したい場合は、以下の手順に従ってください：

1. リポジトリをフォークする
2. 変更用の新しいブランチを作成する
3. 変更を加えてブランチにコミットする
4. 変更をフォークにプッシュする
5. アップストリームリポジトリに対してPull Request（PR）を開く

より詳細な手順については、CONTRIBUTING.md ファイルを参照してください。ドライバー用の新しい YAML ファイルを作成するには、提供されている YML-Template を使用してください。

🚨 Sigma、Yara、ClamAV、Sysmon による検出

LOLDrivers は、潜在的な脅威を効果的に検出するための包括的な Sigma、Yara、ClamAV、Sysmon 検出ルールを提供しています。これらのルールの詳細を確認するには、detection フォルダー配下の sigma、yara、av、sysmon ディレクトリに移動してください。また、Florian Stosse と HotCakeX のおかげで WDAC ポリシーも用意されています。

ハッピーハンティング！ 🕵️‍♂️

🔎 Windows フォルダースキャン

コミュニティはまた、@Oddvarmoe、@M_haggis、IISResetMe の協力による PowerShell LOLDriver スキャナーを作成しました。これは潜在的に悪意のあるドライバーを特定するのに役立ちます。こちらで入手できるこのスクリプトを使用すると、指定した Windows フォルダーをスキャンして疑わしいファイルを検出できます。以下のようなディレクトリでスクリプトを実行することを推奨します:

C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository

🏗️ ローカルでのビルドとテスト

メインのウェブサイトは website/ で Astro を使用しています。Node 24 / Python 3.11 のセットアップ、公開 API の生成、ローカルプレビュー、ブラウザチェックについては、そのガイドを参照してください。ウェブサイトのビルドやデプロイに Hugo と Go は不要になりました。

Deploy Site ワークフローは、プルリクエストで本番アーティファクトを検証し、main へのプッシュ後にテスト済みの Astro アーティファクトを GitHub Pages に公開します。別のプレビューワークフローではアナリティクスが無効のまま維持されます。タグ付きリリースでは、ウェブサイトをデプロイせずにドライバーのダウンロードをパッケージ化します。

URL 契約と残りのメンテナンス作業については、本番移行およびロールバックガイドを参照してください。