LOLRMM - 离地远程监控与管理 🖥️🔍

欢迎来到 LOLRMM（Living Off the Land Remote Monitoring and Management），这是一个社区驱动的项目，提供了一份经过整理的远程监控与管理（RMM）及远程访问工具清单，这些工具可能被威胁行为者滥用。我们的使命是帮助安全专业人员及时了解这些工具及其被滥用的可能性，为社区提供一个可用于威胁狩猎、检测和制定预防策略的目录。

🌟 主要功能

• 基于 Astro 的快速静态站点，位于 lolrmm.io – 浏览目录、按平台筛选、按名称/域名/工件搜索，并查看工具详情。目录内容以静态 HTML 渲染；交互式搜索和筛选使用 JavaScript
• 目录快照（2026-10-06）： 358 个条目，分类为 261 个 RMM 和 97 个 RAT，724 个不同的已记录域名模式，以及 145 个具有证书证据的工具。请查看实时站点获取当前总数；仅凭目录分类并不能确定恶意使用
• 累计增长图表，展示目录随时间的扩展情况
• 结构化 YAML 源记录，描述每个工具的关键细节：
  • 工具名称、描述、作者和时间戳
  • 技术细节（网站、PE 元数据、所需权限等）
  • 支持的操作系统和功能
  • 已知漏洞和安装路径
  • 留在磁盘、事件日志、注册表或网络中的工件
  • 检测方法（包括 Sigma、Splunk、Defender 和 Sysmon 规则）
  • 参考资料和致谢
• JSON 和 CSV API，用于程序化访问 – 无需 API 密钥即可获取完整目录、网络域名或单个工具记录
• LLM 可发现的指南，位于 lolrmm.io/llms.txt，供 AI 助手和研究自动化使用
• 生成的 Sigma 检测规则位于 detections/ 下，进程和 DNS 指标自动从目录条目中派生

🚀 快速开始

要开始使用 LOLRMM：

1. 浏览目录，访问 lolrmm.io – 按平台探索、按工具类型筛选，或搜索特定工件
2. 克隆仓库，直接使用 YAML 源记录
3. 通过 API 获取，将目录数据集成到您的威胁狩猎和检测工作流中

API 使用

以 JSON 或 CSV 格式获取完整目录（无需 API 密钥）：

# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json

# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv

# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv

# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json

请参阅 lolrmm.io/api/ 获取完整的 API 文档和更多数据源。

支持 📞

请使用 GitHub issue tracker 提交错误或请求功能。

🤝 贡献与提交 PR

通过定期检查更新并为项目做出贡献，与 LOLRMM 社区保持互动。您的参与将有助于确保项目保持最新，并对他人更有价值。

如果您想贡献，请按照以下步骤操作：

1. Fork 仓库
2. 为您的更改创建一个新分支
3. 进行更改并提交到您的分支
4. 将更改推送到您的 fork
5. 向上游仓库提交 Pull Request（PR）

有关更详细的说明，请参阅 CONTRIBUTING.md 文件（如果可用）。要为 RMM 工具创建新的 YAML 文件，请使用 yaml 目录中提供的 YAML 模板。

🚨 Sigma 检测

LOLRMM 提供 Sigma 检测规则，帮助您有效检测与 RMM 工具相关的潜在威胁。要详细探索这些规则，请导航到 detections/sigma/ 目录。

狩猎愉快！🕵️‍♂️

🏗️ 本地构建与测试

要求

• Python 3.12+（PyYAML，或现有的 Poetry 环境）
• Node.js 22.19+

网站现在使用 Astro。从仓库根目录：

python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev

访问 http://localhost:4321。dev/build 命令会自动从 /yaml 重新生成数据和检测导出。要构建并验证静态网站：

npm run check
npm run build
npx playwright install chromium
npm test

输出写入 website/dist/。有关数据路由、图表方法、分析配置和部署详情，请参阅 website/README.md。

加入我们，为各地的组织创造一个更安全、更有保障的数字环境。有了 LOLRMM 的支持，您将能够充分理解和应对不断演变的网络环境中与 RMM 工具相关的潜在风险。

🤖 GitHub Actions

目的

.github/workflows 目录中的 GitHub 工作流文件为持续集成、持续交付和其他项目维护活动自动化各种任务和流程。 这些工作流文件利用 GitHub Actions 根据特定触发器（如代码推送、拉取请求或计划间隔）执行预定义步骤。

关键目标

• 自动化测试：确保所有代码更改在合并到主分支之前通过必要的测试。
• 持续集成：在不同环境和配置中自动构建和验证项目。
• 代码质量检查：运行静态分析工具以维护代码质量并遵守编码标准。
• 部署：管理到各种环境的部署过程，确保无缝且可靠的发布。
• 徽章更新：自动更新项目徽章以反映当前状态，例如远程监控与管理（RMM）的数量

生成数据机器人配置

生成数据工作流使用仓库范围的 GitHub App 来打开或刷新 automation/generated-data PR。为该应用设置仓库变量 GENERATED_DATA_APP_CLIENT_ID 和 Actions 密钥 GENERATED_DATA_APP_PRIVATE_KEY。其安装需要此仓库的 Contents 和 Pull requests 写入权限。

应用令牌让生成数据 PR 自动启动 CI。这些 PR 仍然经过 正常审查和分支保护。当更改到达 main 时，Pages 会独立构建新的目录数据。