magicsword-io/lolrmm위협 행위자들이 악용하는 원격 모니터링 및 관리 도구의 선별된 카탈로그로, YAML 프로필, Sigma 탐지 규칙, 위협 헌팅 및 예방을 위한 API 액세스를 제공합니다.
LOLRMM(Living Off the Land 원격 모니터링 및 관리)에 오신 것을 환영합니다. 이 프로젝트는 커뮤니티 주도로 운영되며, 위협 행위자들이 악용할 가능성이 있는 원격 모니터링 및 관리(RMM) 도구와 원격 접속 도구의 엄선된 목록을 제공합니다. 우리의 목표는 보안 전문가들이 이러한 도구와 그 오용 가능성에 대해 지속적으로 정보를 얻도록 돕고, 위협 헌팅, 탐지 및 예방 정책 수립에 활용할 수 있는 카탈로그를 커뮤니티에 제공하는 것입니다.
detections/ 아래에 있으며, 프로세스 및 DNS 지표는 카탈로그 항목에서 자동으로 도출됩니다LOLRMM을 시작하려면:
전체 카탈로그를 JSON 또는 CSV 형식으로 가져오세요 (API 키 불필요):
# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json
# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv
# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv
# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json
API 문서 전체와 추가 피드에 대해서는 lolrmm.io/api/를 참조하세요.
버그를 제출하거나 기능을 요청하려면 GitHub 이슈 트래커를 이용해 주세요.
정기적으로 업데이트를 확인하고 프로젝트에 기여함으로써 LOLRMM 커뮤니티와 계속 소통해 주세요. 여러분의 참여는 프로젝트가 최신 상태를 유지하고 다른 사람들에게 더욱 가치 있게 만드는 데 도움이 됩니다.
기여하고 싶으시다면 다음 단계를 따라 주세요:
더 자세한 지침은 CONTRIBUTING.md 파일(있는 경우)을 참조하세요. RMM 도구용 새 YAML 파일을 만들려면 yaml 디렉터리에 제공된 YAML 템플릿을 사용하세요.
검증은 Details.InstallationPaths 및
Artifacts.Disk[].File의 개방형 와일드카드 규칙을 거부합니다. *.exe,
*.dll, *.msi와 같은 확장자만 지정하는 실행 파일 패턴은 벤더 디렉터리
내부에 있더라도 안전하지 않습니다. 다운스트림 정책 엔진이 파일 이름만
추출할 수 있기 때문입니다. 검증된 파일 이름이나 OpsBridgeAgent.exe 또는
Example*.exe처럼 도구별 파일 이름 구성 요소가 포함된 패턴을 사용하세요.
무작위화된 실행 파일 이름에 대한 증거는 확장자만 지정하는 규칙을 추가하는
대신 설명에 남겨 두세요. *.* 및 범위가 지정되지 않은 *와 같은 포괄적
파일 패턴도 검증에 실패합니다. 범위가 지정된 디렉터리 글롭과
C:\ProgramData\Example\* 및 C:\ProgramData\Example\*.log와 같은
비실행 파일 아티팩트는 계속 지원됩니다.
병합 전 검사는 공개 접미사 도메인 패턴, 범위가 지정되지 않은 공유 호스트/게시자, 빈 선택자, 잘못된 해시, 일관되지 않은 인증서 증거도 거부합니다. 생성 규칙 게이트는 임시 디렉터리에서 내보내기를 다시 빌드하고, 양성 대조군을 확인하며, 소스 정규화가 도메인 경계를 보존하고 플레이스홀더를 제외하는지 검증합니다. 안전 계약을 참조하세요.
공유 다운로드 호스트는 Detection: false 및 DetectionReason과 함께
네트워크 아티팩트에 남을 수 있으며, 도메인 CSV 및 Sigma 내보내기에서는
제외됩니다. 동일한 지정은 연구를 위한 서명 증거를 보존합니다. 탐지에
사용되는 공유 게시자는 정확한 CodeSigning.FileNames와
DetectionReason을 요구하며, 소비자는 해당 파일 범위를 서명 ID와 AND
조건으로 결합해야 합니다. 원시 카탈로그 JSON은 상황별 증거와 이러한
필드를 유지합니다. 정책 소비자는 기록된 모든 아티팩트를 차단 규칙으로
취급하는 대신 이를 준수해야 합니다.
PR을 열기 전에 로컬에서 동일한 검사를 실행하세요:
poetry install --no-root
poetry run python -m unittest discover -s tests
poetry run python bin/validate.py
poetry run python bin/lint_content.py
poetry run python bin/validate_generated.py
LOLRMM은 RMM 도구와 관련된 잠재적 위협을 효과적으로 탐지할 수 있도록 Sigma 탐지 규칙을 제공합니다. 이러한 규칙을 자세히 살펴보려면 detections/sigma/ 디렉터리로 이동하세요.
즐거운 사냥 되세요! 🕵️♂️
웹사이트는 이제 Astro를 사용합니다. 저장소 루트에서:
python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev
http://localhost:4321을 방문하세요. dev/build 명령은 /yaml에서 데이터와 탐지 내보내기를 자동으로 재생성합니다. 정적 웹사이트를 빌드하고 검증하려면:
npm run check
npm run build
npx playwright install chromium
npm test
출력은 website/dist/에 기록됩니다. 데이터 경로, 차트 방법론, 분석 구성 및 배포 세부 정보는 website/README.md를 참조하세요.
어디에 있는 조직이든 더 안전하고 보안이 강화된 디지털 환경을 만드는 우리의 여정에 함께해 주세요. LOLRMM과 함께라면 끊임없이 진화하는 사이버 환경에서 RMM 도구와 관련된 잠재적 위험을 이해하고 대처할 수 있는 충분한 역량을 갖추게 될 것입니다.
.github/workflows 디렉터리에 있는 GitHub 워크플로 파일은 지속적 통합, 지속적 전달 및 기타 프로젝트 유지 관리 활동을 위한 다양한 작업과 프로세스를 자동화합니다.
이 워크플로 파일들은 GitHub Actions를 활용하여 코드 푸시, 풀 리퀘스트 또는 예약된 간격과 같은 특정 트리거에 따라 미리 정의된 단계를 실행합니다.
생성 데이터 워크플로는 저장소 범위 GitHub App을 사용하여
automation/generated-data PR을 열거나 갱신합니다. 해당 앱에 대해 저장소 변수
GENERATED_DATA_APP_CLIENT_ID와 Actions 시크릿
GENERATED_DATA_APP_PRIVATE_KEY를 설정하세요. 해당 앱의 설치에는 이 저장소에 대한
Contents 및 Pull requests 쓰기 권한이 필요합니다.
앱 토큰을 사용하면 생성 데이터 PR이 CI를 자동으로 시작할 수 있습니다. 해당 PR은
여전히 일반적인 리뷰와 브랜치 보호를 거칩니다. 변경 사항이 main에 도달하면 Pages는
최신 카탈로그 데이터를 독립적으로 빌드합니다.