LOLRMM - 就地利用远程监控与管理 🖥️🔍

欢迎来到 LOLRMM（Living Off the Land Remote Monitoring and Management，就地利用远程监控与管理），这是一个由社区驱动的项目，提供了一份经过整理的远程监控与管理（RMM）及远程访问工具清单，这些工具可能被威胁行为者滥用。我们的使命是帮助安全专业人员及时了解这些工具及其被滥用的可能性，并为社区提供一个可用于威胁狩猎、检测和制定防护策略的目录。

🌟 主要特性

• 基于 Astro 的快速静态站点，位于 lolrmm.io – 可浏览目录、按平台筛选、按名称/域名/工件搜索，并查看工具详情。目录内容以静态 HTML 渲染；交互式搜索和筛选使用 JavaScript
• 目录快照（2026-10-06）： 358 条记录，分类为 261 个 RMM 和 97 个 RAT，724 个不同的已记录域名模式，以及 145 个带有证书证据的工具。当前总数请参见实时站点；仅凭目录分类并不能确定存在恶意使用
• 累计增长图表，展示目录随时间的扩展情况
• 结构化 YAML 源记录，描述每个工具的关键细节：
  • 工具名称、描述、作者和时间戳
  • 技术细节（网站、PE 元数据、所需权限等）
  • 支持的操作系统和功能
  • 已知漏洞和安装路径
  • 留在磁盘、事件日志、注册表或网络中的工件
  • 检测方法（包括 Sigma、Splunk、Defender 和 Sysmon 规则）
  • 参考资料和致谢
• JSON 和 CSV API，用于程序化访问 – 无需 API 密钥即可获取完整目录、网络域名或单个工具记录
• 可供 LLM 发现的指南，位于 lolrmm.io/llms.txt，供 AI 助手和研究自动化使用
• 生成的 Sigma 检测规则，位于 detections/ 下，其进程和 DNS 指标自动从目录条目中派生

🚀 快速开始

要开始使用 LOLRMM：

1. 浏览目录，位于 lolrmm.io – 按平台探索、按工具类型筛选，或搜索特定工件
2. 克隆仓库，直接使用 YAML 源记录
3. 通过 API 获取，将目录数据集成到你的威胁狩猎和检测工作流中

API 用法

以 JSON 或 CSV 格式获取完整目录（无需 API 密钥）：

# Full catalog JSON with all tool details
curl https://lolrmm.io/api/rmm_tools.json

# CSV export for spreadsheet review
curl https://lolrmm.io/api/rmm_tools.csv

# Network domains for hunting
curl https://lolrmm.io/api/rmm_domains.csv

# Individual tool record
curl https://lolrmm.io/api/tools/anydesk.json

请参阅 lolrmm.io/api/ 获取完整的 API 文档和更多数据源。

支持 📞

请使用 GitHub issue tracker 提交 bug 或请求功能。

🤝 贡献与提交 PR

通过定期查看更新并参与项目贡献，与 LOLRMM 社区保持互动。您的参与将有助于确保项目保持最新状态，并对他人更有价值。

如果您想贡献，请按照以下步骤操作：

1. Fork 仓库
2. 为您的更改创建一个新分支
3. 进行更改并提交到您的分支
4. 将更改推送到您的 fork
5. 向上游仓库发起 Pull Request (PR)

如需更详细的说明，请参阅 CONTRIBUTING.md 文件（如果存在）。要为 RMM 工具创建新的 YAML 文件，请使用 yaml 目录中提供的 YAML 模板。

验证会拒绝 Details.InstallationPaths 和 Artifacts.Disk[].File 中的开放式通配符规则。仅含扩展名的可执行文件模式（如 *.exe、 *.dll 和 *.msi）即使在供应商目录内也不安全：下游策略 引擎可能仅提取文件名。请使用经过验证的文件名或包含 工具特定文件名组件的模式，例如 OpsBridgeAgent.exe 或 Example*.exe。 将随机化可执行文件名的证据保留在描述中，而不是添加 仅含扩展名的规则。*.* 和未限定范围的 * 等全匹配文件模式 也无法通过验证。限定范围的目录通配符和非可执行工件 （如 C:\ProgramData\Example\* 和 C:\ProgramData\Example\*.log）仍然受支持。

合并前检查还会拒绝公共后缀域名模式、未限定范围的共享 主机/发布者、空选择器、无效哈希以及不一致的证书 证据。生成规则门禁会在临时目录中重建导出， 检查良性对照，并验证源规范化保留了域名 边界并排除了占位符。请参阅安全契约。

共享下载主机可以保留在网络工件中，并设置 Detection: false 和 DetectionReason；它们会被排除在域名 CSV 和 Sigma 导出之外。 同样的指定方式会为研究保留签名证据。用于检测的共享发布者 需要精确的 CodeSigning.FileNames 加上 DetectionReason；使用方必须将该文件范围与签名身份进行 AND 组合。 原始目录 JSON 保留上下文证据和这些字段。策略使用方 必须遵守这些字段，而不是将所有记录的工件都视为阻断规则。

在发起 PR 之前，请在本地运行相同的检查：

poetry install --no-root
poetry run python -m unittest discover -s tests
poetry run python bin/validate.py
poetry run python bin/lint_content.py
poetry run python bin/validate_generated.py

🚨 Sigma 检测

LOLRMM 提供 Sigma 检测规则，帮助你有效检测与 RMM 工具相关的潜在威胁。要详细了解这些规则，请导航至 detections/sigma/ 目录。

祝你狩猎愉快！🕵️‍♂️

🏗️ 本地构建与测试

要求

• Python 3.12+（PyYAML，或现有的 Poetry 环境）
• Node.js 22.23.4+

该网站现在使用 Astro。从仓库根目录执行：

python3 -m venv .venv
source .venv/bin/activate
pip install pyyaml
cd website
npm ci
npm run dev

访问 http://localhost:4321。dev/build 命令会自动从 /yaml 重新生成数据和检测导出。要构建并验证静态网站：

npm run check
npm run build
npx playwright install chromium
npm test

输出写入 website/dist/。有关数据路由、图表方法、分析配置和部署详情，请参阅 website/README.md。

加入我们，共同为各地组织打造更安全、更有保障的数字环境。有了 LOLRMM 的助力，您将能够充分理解并应对不断演变的网络环境中与 RMM 工具相关的潜在风险。

🤖 GitHub Actions

用途

.github/workflows 目录中的 GitHub 工作流文件可自动化持续集成、持续交付及其他项目维护活动中的各项任务和流程。 这些工作流文件利用 GitHub Actions，根据代码推送、拉取请求或计划间隔等特定触发器执行预定义步骤。

主要目标

• 自动化测试：确保所有代码变更在合并到主分支之前通过必要的测试。
• 持续集成：在不同环境和配置中自动构建并验证项目。
• 代码质量检查：运行静态分析工具，以维护代码质量并遵循编码标准。
• 部署：管理面向各种环境的部署流程，确保发布过程无缝且可靠。
• 徽章更新：自动更新项目徽章，以反映当前状态，例如远程监控与管理（RMM）的数量

生成数据机器人配置

生成数据工作流使用一个仓库范围的 GitHub App 来创建或刷新 automation/generated-data PR。请为该应用设置仓库变量 GENERATED_DATA_APP_CLIENT_ID 和 Actions 密钥 GENERATED_DATA_APP_PRIVATE_KEY。其安装需要此仓库的 Contents 和 Pull requests 写入权限。

应用令牌可让生成数据 PR 自动启动 CI。这些 PR 仍会 经过常规审查和分支保护。当变更到达 main 时，Pages 会独立构建最新的目录数据。