LOLRMM - Living Off the Land Remote Monitoring and Management 🖥️🔍

Bem-vindo ao LOLRMM (Living Off the Land Remote Monitoring and Management), um projeto orientado pela comunidade que fornece uma lista curada de ferramentas de Monitoramento e Gerenciamento Remoto (RMM) e de acesso remoto que podem potencialmente ser abusadas por agentes de ameaça. Nossa missão é ajudar os profissionais de segurança a se manterem informados sobre essas ferramentas e seu potencial de uso indevido, fornecendo à comunidade um catálogo que pode ser usado para caça a ameaças, detecção e criação de políticas de prevenção.

🌟 Principais Recursos

• Site estático rápido com Astro em lolrmm.io – navegue pelo catálogo, filtre por plataforma, pesquise por nome/domínio/artefato e explore os detalhes das ferramentas. O conteúdo do catálogo é renderizado como HTML estático; a pesquisa interativa e os filtros usam JavaScript
• Snapshot do catálogo (2026-10-06): 358 entradas classificadas como 261 RMM e 97 RAT, 724 padrões de domínio distintos registrados e 145 ferramentas com evidências de certificado. Consulte o site ao vivo para os totais atuais; a classificação do catálogo por si só não estabelece uso malicioso
• Gráfico de crescimento cumulativo mostrando a expansão do catálogo ao longo do tempo
• Registros de origem YAML estruturados descrevendo os principais detalhes de cada ferramenta:
  • Nome da ferramenta, descrição, autor e timestamps
  • Detalhes técnicos (site, metadados PE, privilégios necessários, etc.)
  • Sistemas operacionais e capacidades suportados
  • Vulnerabilidades conhecidas e caminhos de instalação
  • Artefatos deixados em disco, em logs de eventos, no registro ou na rede
  • Métodos de detecção (incluindo regras Sigma, Splunk, Defender e Sysmon)
  • Referências e agradecimentos
• APIs JSON e CSV para acesso programático – obtenha o catálogo completo, os domínios de rede ou registros individuais de ferramentas sem necessidade de chave de API
• Guia descobrível por LLM em lolrmm.io/llms.txt para assistentes de IA e automação de pesquisa
• Detecções Sigma geradas em detections/ com indicadores de processo e DNS derivados automaticamente das entradas do catálogo

🚀 Primeiros Passos

Para começar a trabalhar com o LOLRMM:

1. Navegue pelo catálogo em lolrmm.io – explore por plataforma, filtre por tipo de ferramenta ou pesquise por artefatos específicos
2. Clone o repositório para trabalhar diretamente com os registros de origem YAML
3. Obtenha via API para integrar os dados do catálogo aos seus fluxos de trabalho de caça a ameaças e detecção

Uso da API

Obtenha o catálogo completo em formato JSON ou CSV (sem necessidade de chave de API):

# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json

# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv

# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv

# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json

Consulte lolrmm.io/api/ para obter a documentação completa da API e feeds adicionais.

Suporte 📞

Utilize o rastreador de issues do GitHub para enviar bugs ou solicitar funcionalidades.

🤝 Contribuir e criar PRs

Mantenha-se envolvido com a comunidade LOLRMM verificando regularmente as atualizações e contribuindo para o projeto. A sua participação ajudará a garantir que o projeto se mantenha atualizado e ainda mais valioso para os outros.

Se desejar contribuir, siga estes passos:

1. Faça um fork do repositório
2. Crie um novo branch para as suas alterações
3. Faça as suas alterações e faça commit no seu branch
4. Envie as suas alterações para o seu fork
5. Abra um Pull Request (PR) contra o repositório upstream

Para instruções mais detalhadas, consulte o ficheiro CONTRIBUTING.md (se disponível). Para criar um novo ficheiro YAML para uma ferramenta RMM, utilize os modelos YAML fornecidos no diretório yaml.

A validação rejeita regras de wildcard abertas em Details.InstallationPaths e Artifacts.Disk[].File. Padrões executáveis apenas com extensão, como *.exe, *.dll e *.msi, são inseguros mesmo dentro de um diretório de fornecedor: os motores de políticas a jusante podem extrair apenas o nome do ficheiro. Utilize nomes de ficheiro verificados ou padrões com um componente de nome de ficheiro específico da ferramenta, como OpsBridgeAgent.exe ou Example*.exe. Mantenha a evidência de nomes de executáveis aleatorizados nas descrições em vez de adicionar uma regra apenas com extensão. Padrões de ficheiro abrangentes como *.* e * sem escopo também falham a validação. Globs de diretório com escopo e artefactos não executáveis como C:\ProgramData\Example\* e C:\ProgramData\Example\*.log continuam suportados.

As verificações pré-merge também rejeitam padrões de domínio de sufixo público, hosts/editoras partilhados sem escopo, seletores vazios, hashes inválidos e evidência de certificado inconsistente. O gate de regras geradas reconstrói as exportações num diretório temporário, verifica controlos benignos e verifica se a normalização da fonte preserva os limites de domínio e exclui placeholders. Consulte o contrato de segurança.

Hosts de download partilhados podem permanecer num artefacto de rede com Detection: false e um DetectionReason; são excluídos das exportações CSV de domínio e Sigma. A mesma designação preserva a evidência de assinatura para investigação. Editoras partilhadas utilizadas para deteção requerem CodeSigning.FileNames exatos mais um DetectionReason; os consumidores devem aplicar AND desse escopo de ficheiro com a identidade de assinatura. O JSON do catálogo bruto retém evidência contextual e estes campos. Os consumidores de políticas devem respeitá-los em vez de tratar todos os artefactos registados como regras de bloqueio.

Execute as mesmas verificações localmente antes de abrir um PR:

poetry install --no-root
poetry run python -m unittest discover -s tests
poetry run python bin/validate.py
poetry run python bin/lint_content.py
poetry run python bin/validate_generated.py

🚨 Detecção Sigma

O LOLRMM fornece regras de detecção Sigma para ajudar você a detectar efetivamente possíveis ameaças relacionadas a ferramentas RMM. Para explorar essas regras em detalhes, navegue até o diretório detections/sigma/.

Boa caçada! 🕵️‍♂️

🏗️ Compilação e Testes Localmente

Requisitos

• Python 3.12+ (PyYAML, ou o ambiente Poetry existente)
• Node.js 22.23.4+

O site agora usa Astro. A partir da raiz do repositório:

python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev

Visite http://localhost:4321. Os comandos de dev/build regeneram automaticamente os dados e as exportações de detecção a partir de /yaml. Para compilar e verificar o site estático:

npm run check
npm run build
npx playwright install chromium
npm test

A saída é gravada em website/dist/. Consulte website/README.md para rotas de dados, metodologia dos gráficos, configuração de analytics e detalhes de implantação.