LOLDrivers - Живые драйверы (Living Off The Land Drivers) 🚗💨

Добро пожаловать в LOLDrivers (Living Off The Land Drivers) — захватывающий проект с открытым исходным кодом, объединяющий уязвимые, вредоносные и известные вредоносные драйверы Windows в одном комплексном репозитории. Наша миссия — дать организациям любого размера знания и инструменты для понимания и устранения рисков безопасности, связанных с драйверами, делая их системы безопаснее и надёжнее.

Ключевые возможности

• Обширная и хорошо организованная коллекция уязвимых и вредоносных драйверов Windows
• Постоянно обновляется последней информацией об уязвимостях и угрозах, связанных с драйверами
• Удобные для навигации категории и индексы для быстрого доступа к нужной информации
• Бесшовная интеграция с Sigma для проактивной защиты с использованием блокировки по хешу

Как LOLDrivers может помочь вашей организации

• Повышает видимость уязвимых драйверов в вашей инфраструктуре, способствуя укреплению безопасности
• Позволяет быть в курсе последних угроз и уязвимостей, связанных с драйверами
• Быстро выявляет и устраняет риски, связанные с уязвимостями драйверов, минимизируя возможный ущерб
• Использует совместимость с Sigma для проактивной блокировки известных вредоносных драйверов по хешу

Начало работы

Чтобы начать работу с LOLDrivers, просто посетите сайт LOLDrivers.io или клонируйте репозиторий и изучите богатство информации, доступной в категоризированных каталогах. Мы разработали сайт так, чтобы помочь вам легко найти нужные сведения для защиты ваших систем от уязвимых драйверов.

Чтобы ускорить создание yaml-файла, посетите loldrivers.streamlit.app

Поддержка 📞

Пожалуйста, используйте GitHub issue tracker для сообщений об ошибках или запросов функций.

🤝 Участие и создание PR

Оставайтесь на связи с сообществом LOLDrivers, регулярно проверяя обновления и внося вклад в проект. Ваше участие поможет поддерживать проект в актуальном состоянии и сделает его ещё более ценным для других.

Присоединяйтесь к нашей миссии по созданию более безопасной и защищённой цифровой среды для организаций по всему миру. С LOLDrivers на вашей стороне вы будете хорошо подготовлены к решению проблем безопасности, связанных с драйверами, и уверенно ориентироваться в постоянно меняющемся киберландшафте.

Если вы хотите внести свой вклад, выполните следующие шаги:

1. Форкните репозиторий
2. Создайте новую ветку для ваших изменений
3. Внесите изменения и закоммитьте их в свою ветку
4. Отправьте изменения в свой форк
5. Откройте Pull Request (PR) в upstream-репозиторий

Более подробные инструкции см. в файле CONTRIBUTING.md. Чтобы создать новый YAML-файл для драйвера, используйте предоставленный YML-Template.

🚨 Обнаружение Sigma, Yara, ClamAV и Sysmon

LOLDrivers предоставляет комплексные правила обнаружения Sigma, Yara, ClamAV и Sysmon, которые помогут вам эффективно выявлять потенциальные угрозы. Чтобы подробно изучить эти правила, перейдите в каталоги sigma, yara, av и sysmon в папке detection. Также доступна политика WDAC благодаря Florian Stosse и HotCakeX.

Удачной охоты! 🕵️‍♂️

🔎 Сканирование папок Windows

Сообщество также создало сканер LOLDriver на PowerShell благодаря @Oddvarmoe, @M_haggis и IISResetMe, который поможет вам выявить потенциально вредоносные драйверы. Скрипт, доступный здесь, позволяет сканировать указанную папку Windows на наличие подозрительных файлов. Мы рекомендуем запускать скрипт для таких каталогов, как:

C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository

🏗️ Локальная сборка и тестирование

Основной сайт использует Astro в website/. См. это руководство по настройке Node 24 / Python 3.11, генерации публичного API, локальному предпросмотру и проверкам в браузере. Hugo и Go больше не требуются для сборки или развёртывания сайта.

Рабочий процесс Deploy Site проверяет production-артефакты в pull request'ах и публикует протестированный Astro-артефакт на GitHub Pages после пуша в main. Отдельный workflow предпросмотра оставляет аналитику отключённой. Релизы с тегами упаковывают загрузки драйверов без развёртывания сайта.

См. руководство по миграции в production и откату для контракта URL и оставшихся работ по сопровождению.