LOLDrivers - Living Off The Land Drivers 🚗💨

Добро пожаловать в LOLDrivers (Living Off The Land Drivers) — захватывающий проект с открытым исходным кодом, объединяющий уязвимые, вредоносные и известные вредоносные драйверы Windows в одном комплексном репозитории. Наша миссия — дать организациям любого размера знания и инструменты для понимания и устранения рисков безопасности, связанных с драйверами, делая их системы безопаснее и надёжнее.

Каталог вкратце

В настоящее время каталог LOLDrivers отслеживает 702 записи о драйверах (578 уязвимых, 124 вредоносных) с подтверждениями из 2 407 известных образцов. Каждая запись о драйвере может иметь несколько известных образцов с разными хешами, подписями и результатами HVCI. Живой сайт показывает метрики в реальном времени, совокупный рост во времени и интерактивный поиск по драйверам.

Ключевые возможности

• Комплексный каталог драйверов: 702 записи о драйверах, охватывающие уязвимые и вредоносные драйверы Windows, с подробными метаданными для 2 407 известных образцов
• Сайт на базе Astro: быстрый, современный сайт с интерактивным поиском по драйверам, графиками роста и метриками каталога на loldrivers.io
• Аналитика HVCI: подтверждения на уровне образцов о поведении загрузки вопреки HVCI, помогающие оценить влияние драйвера на целостность кода, защищённого гипервизором
• Структурированные API-каналы: программный доступ через JSON- и CSV-эндпоинты по адресам /api/drivers.json и /api/drivers.csv — см. документацию API
• Ресурсы для обнаружения: политики Sigma, YARA, ClamAV (.hdb), Sysmon и WDAC для проактивной блокировки и поиска
• Дружелюбность к LLM: обнаруживается через /llms.txt с рекомендациями по исследованию, проверке образцов и защитной интеграции
• Постоянно обновляется: поддерживается сообществом с последними уязвимостями драйверов, вредоносными образцами и исследовательскими ссылками

Как LOLDrivers может помочь вашей организации

• Повысить видимость уязвимых драйверов в вашей инфраструктуре, способствуя укреплению безопасности
• Оставаться на шаг впереди, будучи информированными о последних угрозах и уязвимостях, связанных с драйверами
• Быстро выявлять и устранять риски, связанные с уязвимостями драйверов, минимизируя потенциальный ущерб
• Использовать совместимость с Sigma для проактивной блокировки известных вредоносных драйверов по хешу

Начало работы

Чтобы начать работу с LOLDrivers, просто посетите сайт LOLDrivers.io или клонируйте репозиторий и изучите богатство информации, доступной в категоризированных каталогах. Мы разработали сайт так, чтобы помочь вам легко найти нужные сведения для защиты ваших систем от уязвимых драйверов.

Чтобы ускорить создание yaml-файла, загляните на loldrivers.streamlit.app

Поддержка 📞

Пожалуйста, используйте трекер задач GitHub для сообщений об ошибках или запросов функций.

🤝 Участие и создание PR

Оставайтесь на связи с сообществом LOLDrivers, регулярно проверяя обновления и внося вклад в проект. Ваше участие поможет поддерживать проект в актуальном состоянии и сделает его ещё более ценным для других.

Присоединяйтесь к нашей миссии по созданию более безопасной и защищённой цифровой среды для организаций по всему миру. С LOLDrivers на вашей стороне вы будете хорошо подготовлены к решению рисков безопасности, связанных с драйверами, и уверенно ориентироваться в постоянно меняющемся киберландшафте.

Если вы хотите внести свой вклад, пожалуйста, следуйте этим шагам:

1. Форкните репозиторий
2. Создайте новую ветку для ваших изменений
3. Внесите изменения и закоммитьте их в свою ветку
4. Отправьте изменения в свой форк
5. Откройте Pull Request (PR) в upstream-репозиторий

Для получения более подробных инструкций обратитесь к файлу CONTRIBUTING.md. Чтобы создать новый YAML-файл для драйвера, используйте предоставленный YML-Template.

🚨 Обнаружение с помощью Sigma, Yara, ClamAV и Sysmon

LOLDrivers предоставляет комплексные правила обнаружения для Sigma, Yara, ClamAV и Sysmon, которые помогут вам эффективно выявлять потенциальные угрозы. Чтобы подробно изучить эти правила, перейдите в каталоги sigma, yara, av и sysmon внутри папки detection. Также доступна политика WDAC благодаря Florian Stosse и HotCakeX.

Удачной охоты! 🕵️‍♂️

🔎 Сканирование папок Windows

Сообщество также создало сканер LOLDriver на PowerShell благодаря @Oddvarmoe, @M_haggis и IISResetMe, который поможет вам выявить потенциально вредоносные драйверы. Скрипт, доступный здесь, позволяет просканировать указанную папку Windows на наличие подозрительных файлов. Мы рекомендуем запускать скрипт для таких каталогов, как:

C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository

🏗️ Локальная сборка и тестирование

Основной сайт использует Astro в website/. В этом руководстве описаны настройка Node 24 / Python 3.11, генерация публичного API, локальный предпросмотр и проверки в браузере. Hugo и Go больше не требуются для сборки или развёртывания сайта.

Рабочий процесс Deploy Site проверяет production-артефакты в pull request'ах и публикует протестированный артефакт Astro на GitHub Pages после пуша в main. Отдельный рабочий процесс предпросмотра оставляет аналитику отключённой. Релизы с тегами упаковывают загрузки драйверов без развёртывания сайта.

См. руководство по миграции в production и откату для контракта URL и оставшихся работ по сопровождению.