LOLDrivers - Living Off The Land Drivers 🚗💨

LOLDrivers(Living Off The Land Drivers)에 오신 것을 환영합니다. 이 흥미로운 오픈소스 프로젝트는 취약한 드라이버, 악성 드라이버, 그리고 알려진 악성 Windows 드라이버를 하나의 포괄적인 저장소로 모아 제공합니다. 우리의 사명은 모든 규모의 조직이 드라이버 관련 보안 위험을 이해하고 해결할 수 있도록 지식과 도구를 제공하여, 시스템을 더 안전하고 신뢰할 수 있게 만드는 것입니다.

한눈에 보는 카탈로그

LOLDrivers 카탈로그는 현재 702개의 드라이버 항목(취약 578개, 악성 124개)을 추적하고 있으며, 2,407개의 알려진 샘플에서 확보한 증거를 포함합니다. 각 드라이버 항목은 서로 다른 해시, 서명, HVCI 결과를 가진 여러 개의 알려진 샘플을 가질 수 있습니다. 라이브 사이트에서는 실시간 지표, 시간에 따른 누적 증가 추이, 검색 가능한 드라이버 탐색기를 확인할 수 있습니다.

주요 기능

포괄적인 드라이버 카탈로그: 취약 및 악성 Windows 드라이버를 아우르는 702개의 드라이버 항목과 2,407개의 알려진 샘플에 대한 상세 메타데이터
Astro 기반 웹사이트: loldrivers.io에서 검색 가능한 드라이버 탐색기, 성장 차트, 카탈로그 지표를 제공하는 빠르고 현대적인 사이트
HVCI 인사이트: HVCI에도 불구하고 로드되는 동작에 대한 샘플 수준의 증거를 제공하여, 하이퍼바이저 보호 코드 무결성에 대한 드라이버 영향을 평가하는 데 도움
구조화된 API 피드: /api/drivers.json 및 /api/drivers.csv 엔드포인트를 통한 프로그래밍 방식 접근 — API 문서 참조
탐지 리소스: 사전 차단 및 헌팅을 위한 Sigma, YARA, ClamAV(.hdb), Sysmon, WDAC 정책
LLM 친화적: 연구, 샘플 검증, 방어적 통합을 위한 가이드를 제공하는 /llms.txt를 통해 검색 가능
지속적인 업데이트: 최신 드라이버 취약점, 악성 샘플, 연구 참고 자료를 커뮤니티가 유지 관리

LOLDrivers가 조직에 도움이 되는 방법

인프라 내 취약한 드라이버에 대한 가시성을 높여 더 강력한 보안 태세를 구축
최신 드라이버 관련 위협과 취약점에 대한 정보를 제공하여 한발 앞서 대응
드라이버 취약점과 관련된 위험을 신속하게 식별하고 해결하여 잠재적 피해를 최소화
Sigma와의 호환성을 활용하여 알려진 악성 드라이버를 해시 기준으로 사전 차단

시작하기

LOLDrivers와 함께 여정을 시작하려면 LOLDrivers.io 사이트를 확인하거나 저장소를 클론하여 분류된 디렉터리에 담긴 풍부한 정보를 살펴보세요. 우리는 여러분이 취약한 드라이버로부터 시스템을 보호하는 데 필요한 인사이트를 쉽게 찾을 수 있도록 사이트를 설계했습니다.

yaml 파일 생성을 빠르게 하려면 loldrivers.streamlit.app을 확인하세요.

지원 📞

버그를 제출하거나 기능을 요청하려면 GitHub 이슈 트래커를 이용해 주세요.

🤝 기여 및 PR 만들기

업데이트를 정기적으로 확인하고 프로젝트에 기여하여 LOLDrivers 커뮤니티와 계속 소통하세요. 여러분의 참여는 프로젝트가 최신 상태를 유지하고 다른 사람들에게 더욱 가치 있게 만드는 데 도움이 됩니다.

모든 곳의 조직을 위해 더 안전하고 보안이 강화된 디지털 환경을 만드는 우리의 여정에 함께해 주세요. LOLDrivers와 함께라면 드라이버 관련 보안 위험에 효과적으로 대처하고 끊임없이 진화하는 사이버 환경을 자신 있게 헤쳐 나갈 수 있습니다.

기여하고 싶으시다면 다음 단계를 따라 주세요:

저장소를 포크합니다
변경 사항을 위한 새 브랜치를 만듭니다
변경 사항을 적용하고 브랜치에 커밋합니다
변경 사항을 포크에 푸시합니다
업스트림 저장소를 대상으로 Pull Request(PR)를 엽니다

더 자세한 지침은 CONTRIBUTING.md 파일을 참조하세요. 드라이버용 새 YAML 파일을 만들려면 제공된 YML-Template을 사용하세요.

🚨 Sigma, Yara, ClamAV 및 Sysmon 탐지

카탈로그 지표와 성장 차트가 있는 LOLDrivers 홈페이지

LOLDrivers는 잠재적 위협을 효과적으로 탐지할 수 있도록 포괄적인 Sigma, Yara, ClamAV 및 Sysmon 탐지 규칙을 제공합니다. 이러한 규칙을 자세히 살펴보려면 detection 폴더 아래의 sigma, yara, av 및 sysmon 디렉터리로 이동하세요. 또한 Florian Stosse와 HotCakeX 덕분에 WDAC 정책도 있습니다.

즐거운 사냥 되세요! 🕵️‍♂️

🔎 Windows 폴더 스캔

커뮤니티에서는 @Oddvarmoe, @M_haggis, IISResetMe의 도움으로 잠재적으로 악성인 드라이버를 식별하는 데 도움이 되는 PowerShell LOLDriver 스캐너도 만들었습니다. 여기에서 사용할 수 있는 이 스크립트를 사용하면 지정된 Windows 폴더에서 의심스러운 파일을 검사할 수 있습니다. 다음과 같은 디렉터리에서 스크립트를 실행하는 것을 권장합니다:

C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository

🏗️ 로컬에서 빌드 및 테스트

기본 웹사이트는 website/에서 Astro를 사용합니다. Node 24 / Python 3.11 설정, 공개 API 생성, 로컬 미리보기 및 브라우저 검사에 대해서는 해당 가이드를 참조하세요. 이제 웹사이트를 빌드하거나 배포하는 데 Hugo와 Go는 더 이상 필요하지 않습니다.

Deploy Site 워크플로는 풀 리퀘스트에서 프로덕션 아티팩트를 검증하고, main에 푸시한 후 테스트된 Astro 아티팩트를 GitHub Pages에 게시합니다. 별도의 미리보기 워크플로는 분석을 비활성화한 상태로 유지합니다. 태그된 릴리스는 웹사이트를 배포하지 않고 드라이버 다운로드를 패키징합니다.

URL 계약 및 남은 유지보수 작업에 대해서는 프로덕션 마이그레이션 및 롤백 가이드를 참조하세요.

LOLDrivers

인기