📋 Оглавление

• Возможности
• Требования
• Установка
• Использование
• Как это работает
• Примеры обнаружения
• Сборка из исходного кода
• Логика обнаружения
• Лицензия
• Благодарности

✨ Возможности

• 🔍 Умное сканирование: Обнаруживает уязвимые драйверы по SHA256-хешу и имени файла
• 🌐 Автоматические обновления: Автоматическая синхронизация с базой данных LOLDrivers.io
• ⚡ Высокая производительность: Оптимизированное сканирование с индексами в памяти для быстрого поиска
• 📊 Прогресс в реальном времени: Живая визуализация сканируемых файлов
• 🎯 Обнаружение по категориям: Разные критерии в зависимости от типа угрозы (вредоносный или уязвимый)
• 🗂️ Несколько режимов сканирования:
  • Сканирование конкретного пути (рекурсивное или нерекурсивное)
  • Автоматическое сканирование стандартных расположений Windows
• 📝 Подробные отчёты: Полная информация об обнаруженных драйверах, включая команды эксплуатации
• 🔒 Только .sys-файлы: Специфическая фильтрация драйверов ядра Windows

💻 Требования

• Операционная система: Windows 10/11 (x64)
• Права: Администратор (требуется для сканирования системных расположений)
• Место: ~10 МБ для исполняемого файла и базы данных

📥 Установка

Прямое скачивание (рекомендуется)

1. Скачайте последнюю версию из Releases
2. Распакуйте .zip-файл
3. Запустите driversentinel.exe из терминала с правами администратора

Из исходного кода

git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel
go run .\build.go

🚀 Использование

Базовый синтаксис

driversentinel.exe [options]

Параметры

Примеры

1. Сканирование стандартных системных расположений (рекомендуется)

driversentinel.exe -common

Автоматически сканирует:

• C:\Windows\System32\drivers
• C:\Windows\SysWOW64\drivers
• C:\Windows\System32\DriverStore\FileRepository
• И другие критически важные расположения

2. Сканирование конкретной директории

driversentinel.exe -path C:\MyFolder

3. Рекурсивное сканирование

driversentinel.exe -path C:\MyFolder -r

4. Сканирование всего диска (⚠️ может занять время)

driversentinel.exe -path C:\ -r

🔬 Как это работает

1️⃣ Синхронизация базы данных

При запуске DriverSentinel:

• Проверяет базу данных LOLDrivers.io с помощью ETag или SHA256
• Автоматически загружает обновления, если они доступны
• Использует локальную копию при отсутствии интернет-соединения

2️⃣ Индексирование в памяти

Создаёт оптимизированные индексы для быстрого поиска:

• Хеш-индекс: SHA256 известных образцов
• Индекс имён файлов: OriginalFilename известных образцов

3️⃣ Сканирование файлов

Для каждого найденного .sys-файла:

1. Сравнивает имя файла (быстрый поиск)
2. При совпадении вычисляет SHA256
3. Применяет логику обнаружения в зависимости от категории
4. Сообщает о найденных совпадениях

4️⃣ Отчёт о результатах

Показывает подробную информацию:

• Путь к файлу
• SHA256-хеш
• Тип совпадения (имя файла, хеш или оба)
• Сведения об уязвимом драйвере
• Известные команды эксплуатации (если применимо)

📊 Примеры обнаружения

Вывод программы

=== DriverSentinel - Vulnerable Driver Scanner by bI8d0 ===

[repository] Local copy is up to date
[repository] Loaded 1337 drivers
Total drivers loaded: 1337

[scanner] Indices built: 5432 hashes, 5432 filenames
[scanner] Valid extension: .sys
[scanner] Starting scan of: C:\Windows\System32\drivers

[scanner] Scanning (523 files): C:\Windows\System32\drivers\some_driver.sys
⚠ DETECTED: C:\Windows\System32\drivers\vulnerable.sys (Type: both, Category: malicious)

[scanner] Scan completed in 2.34s
[scanner] Files scanned: 523
[scanner] Vulnerabilities found: 1


⚠ ALERT: Found 1 vulnerable driver(s)
================================================================================

[1] VULNERABLE FILE DETECTED
--------------------------------------------------------------------------------
  Path:          C:\Windows\System32\drivers\vulnerable.sys
  SHA256:        abc123def456...
  Match Type:    both
  Driver ID:     vulnerable-driver-id
  Category:      malicious

  Vulnerable Driver Details:
    Original:    vulnerable.sys
    Company:     Malicious Corp
    Product:     Malicious Product
    Version:     1.0.0
    Description: Known vulnerable driver
    HVCI:        False

  Exploitation Commands:
    ─── Command 1 ───
    Use Case:     Privilege Escalation
    Privileges:   Administrator
    OS:           Windows 10/11
    Description:  Known exploit method
    Command:      sc.exe create vuln binPath= ...
    Resources:    https://example.com/advisory

================================================================================

⚡ REMEDIATION GUIDE (Requires Administrator)
================================================================================

Generic commands to remove detected vulnerable drivers:

1. Stop the driver/service (if running):
   sc.exe stop <service_name>

2. Disable the driver/service:
   sc.exe config <service_name> start= disabled

3. Delete the service:
   sc.exe delete <service_name>

4. Backup and delete the file:
   move "C:\Path\To\driver.sys" "C:\Path\To\driver.sys.malz"

5. Or delete directly (use with caution):
   del /F "C:\Path\To\driver.sys"

⚠ WARNING:
   - Removing system drivers may cause system instability or prevent boot.
   - Always create a System Restore Point before taking action.
   - Replace <service_name> with the actual service name (use 'sc.exe query' to find it).
   - Use the full path from the detection results above.

================================================================================

🔨 Сборка из исходного кода

Предварительные требования

• Go 1.24+
• Windows 10/11
• Git

Шаги

# Клонируйте репозиторий
git clone https://github.com/bI8d0/DriverSentinel.git
cd DriverSentinel

# Установите зависимости
go mod download

# Соберите проект
go run .\build.go

# Запустите
.\build\driversentinel.exe -common

Оптимизированная сборка

go build -ldflags="-s -w" -o build/driversentinel.exe

🧠 Логика обнаружения

DriverSentinel применяет разные критерии в зависимости от категории драйвера:

🔴 Вредоносные драйверы (category: "malicious")

• Сообщает, если: имя файла ИЛИ хеш совпадают (любое совпадение критично)
• Причина: вредоносные драйверы должны обнаруживаться независимо от переименования

🟡 Уязвимые драйверы (category: "vulnerable driver")

• Сообщает, если: имя файла И хеш совпадают (должны совпасть оба)
• Причина: позволяет избежать ложных срабатываний из-за типовых имён легитимных драйверов

🟢 Другие категории

• Сообщает для: безопасности (перестраховка для новых категорий)

Типы совпадений

Направления для улучшения

• Поддержка параллельного сканирования (горутины)
• Экспорт отчётов (JSON, CSV, HTML)
• Графический интерфейс пользователя (GUI)
• Тихий режим для автоматизации
• Интеграция с SIEM
• Автоматический карантин обнаруженных драйверов

📄 Лицензия

Этот проект распространяется под лицензией MIT. Подробности см. в файле LICENSE.

🙏 Благодарности

• Автор: bI8d0
• База данных: LOLDrivers.io — потрясающий общественный проект, поддерживающий базу данных уязвимых драйверов
• Сообществу: особая благодарность всем исследователям безопасности, вносящим вклад в LOLDrivers

Используемые технологии

• Go — язык программирования
• uilive — индикатор прогресса в реальном времени
• LOLDrivers API — база данных уязвимых драйверов