LOLRMM - Living Off the Land Remote Monitoring and Management 🖥️🔍

Добро пожаловать в LOLRMM (Living Off the Land Remote Monitoring and Management) — проект, развиваемый сообществом, который предоставляет курируемый список инструментов удалённого мониторинга и управления (RMM) и удалённого доступа, которые потенциально могут быть использованы злоумышленниками. Наша миссия — помогать специалистам по безопасности оставаться в курсе об этих инструментах и их потенциале для злоупотребления, предоставляя сообществу каталог, который можно использовать для охоты за угрозами, создания политик обнаружения и предотвращения.

🌟 Ключевые возможности

• Быстрый статический сайт на Astro по адресу lolrmm.io — просматривайте каталог, фильтруйте по платформе, ищите по имени/домену/артефакту и изучайте детали инструментов. Содержимое каталога отображается как статический HTML; интерактивный поиск и фильтры используют JavaScript
• Снимок каталога (2026-10-06): 358 записей, классифицированных как 261 RMM и 97 RAT, 724 различных зафиксированных шаблона доменов и 145 инструментов с подтверждением сертификатами. Актуальные итоговые значения смотрите на живом сайте; одна лишь классификация в каталоге не устанавливает факт вредоносного использования
• График совокупного роста, показывающий расширение каталога во времени
• Структурированные исходные записи YAML, описывающие ключевые детали каждого инструмента:
  • Имя инструмента, описание, автор и временные метки
  • Технические детали (веб-сайт, метаданные PE, требуемые привилегии и т. д.)
  • Поддерживаемые операционные системы и возможности
  • Известные уязвимости и пути установки
  • Артефакты, оставляемые на диске, в журналах событий, реестре или сети
  • Методы обнаружения (включая правила Sigma, Splunk, Defender и Sysmon)
  • Ссылки и благодарности
• API JSON и CSV для программного доступа — получайте полный каталог, сетевые домены или отдельные записи инструментов без необходимости в API-ключе
• Руководство, обнаруживаемое LLM, по адресу lolrmm.io/llms.txt для ИИ-ассистентов и автоматизации исследований
• Сгенерированные Sigma-детекции в каталоге detections/ с индикаторами процессов и DNS, автоматически выведенными из записей каталога

🚀 Начало работы

Чтобы начать работу с LOLRMM:

1. Просмотрите каталог на lolrmm.io — изучайте по платформе, фильтруйте по типу инструмента или ищите конкретные артефакты
2. Клонируйте репозиторий, чтобы работать с исходными записями YAML напрямую
3. Получайте данные через API, чтобы интегрировать данные каталога в ваши рабочие процессы охоты за угрозами и обнаружения

Использование API

Получите полный каталог в формате JSON или CSV (API-ключ не требуется):

# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json

# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv

# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv

# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json

Полную документацию по API и дополнительные каналы данных смотрите на lolrmm.io/api/.

Поддержка 📞

Пожалуйста, используйте трекер задач GitHub для сообщений об ошибках или запросов функций.

🤝 Участие и создание PR

Оставайтесь вовлечёнными в сообщество LOLRMM, регулярно проверяя обновления и внося вклад в проект. Ваше участие поможет обеспечить актуальность проекта и сделает его ещё более ценным для других.

Если вы хотите внести свой вклад, пожалуйста, следуйте этим шагам:

1. Форкните репозиторий
2. Создайте новую ветку для ваших изменений
3. Внесите изменения и закоммитьте их в свою ветку
4. Отправьте изменения в свой форк
5. Откройте Pull Request (PR) в upstream-репозиторий

Более подробные инструкции смотрите в файле CONTRIBUTING.md (если он доступен). Чтобы создать новый YAML-файл для инструмента RMM, используйте предоставленные шаблоны YAML в каталоге yaml.

🚨 Sigma-детекция

LOLRMM предоставляет правила Sigma для обнаружения, чтобы помочь вам эффективно выявлять потенциальные угрозы, связанные с инструментами RMM. Чтобы подробно изучить эти правила, перейдите в каталог detections/sigma/.

Удачной охоты! 🕵️‍♂️

🏗️ Локальная сборка и тестирование

Требования

• Python 3.12+ (PyYAML или существующее окружение Poetry)
• Node.js 22.19+

Сайт теперь использует Astro. Из корня репозитория:

python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev

Откройте http://localhost:4321. Команды dev/build автоматически регенерируют данные и экспорты детекций из /yaml. Чтобы собрать и проверить статический сайт:

npm run check
npm run build
npx playwright install chromium
npm test

Результат записывается в website/dist/. Смотрите website/README.md для информации о маршрутах данных, методологии построения графиков, настройке аналитики и деталях развёртывания.

Присоединяйтесь к нашей миссии по созданию более безопасной и защищённой цифровой среды для организаций по всему миру. С LOLRMM на вашей стороне вы будете хорошо подготовлены к пониманию и устранению потенциальных рисков, связанных с инструментами RMM в постоянно меняющемся киберландшафте.

🤖 GitHub Actions

Назначение

Файлы рабочих процессов GitHub в каталоге .github/workflows автоматизируют различные задачи и процессы для непрерывной интеграции, непрерывной доставки и других действий по поддержке проекта. Эти файлы рабочих процессов используют GitHub Actions для выполнения предопределённых шагов на основе определённых триггеров, таких как push кода, pull request или запланированные интервалы.

Ключевые цели

• Автоматизация тестирования: обеспечить прохождение всех изменений кода через необходимые тесты перед слиянием в основную ветку.
• Непрерывная интеграция: автоматически собирать и проверять проект в различных средах и конфигурациях.
• Проверки качества кода: запускать инструменты статического анализа для поддержания качества кода и соответствия стандартам кодирования.
• Развёртывание: управлять процессом развёртывания в различные среды, обеспечивая бесперебойные и надёжные релизы.
• Обновление бейджей: автоматически обновлять бейджи проекта, чтобы отражать текущий статус, например количество Remote Monitoring and Management (RMM)

Конфигурация бота для сгенерированных данных

Рабочий процесс для сгенерированных данных использует GitHub App с областью действия репозитория для открытия или обновления PR automation/generated-data. Задайте переменную репозитория GENERATED_DATA_APP_CLIENT_ID и секрет Actions GENERATED_DATA_APP_PRIVATE_KEY для этого приложения. Его установке требуются права на запись Contents и Pull requests для этого репозитория.

Токен приложения позволяет PR со сгенерированными данными автоматически запускать CI. Эти PR по-прежнему проходят обычное ревью и защиту веток. Pages собирает свежие данные каталога независимо, когда изменения попадают в main.