Living Off The Land Drivers 1.0 릴리스

May 09 2023

첫째 — 피드백과 의견을 주신 모든 분들께 감사드립니다! 정말 감사합니다. 소개 LOLDrivers(Living Off The Land Drivers) 프로젝트는 시작된 이래 엄청난 성장과 성공을 거두었습니다.

첫째 — 피드백과 의견을 주신 모든 분들께 감사드립니다! 정말 감사합니다.

소개

LOLDrivers(Living Off The Land Drivers) 프로젝트는 처음부터 엄청난 성장과 성공을 거두었습니다. 다시 말해, 이 프로젝트의 목표는 알려진 취약성 또는 악의적인 동작이 있는 포괄적이고 잘 관리된 드라이버 리포지토리를 제공하는 것입니다. 1.0 릴리스와 함께 분석가와 연구원에게 더욱 유용한 몇 가지 새로운 기능, 드라이버 강화 및 업데이트를 소개하게 되어 기쁩니다. 이 블로그 게시물에서는 이러한 개선 사항을 안내하고 프로젝트가 달성한 일부 이정표를 축하합니다. 아직 읽지 않았다면 프로젝트의 목적과 목표에 대한 자세한 내용을 알리는 원래 블로그 게시물을 읽어보는 것이 좋습니다.

프로젝트 이정표

Rastamouse 의 노력 덕분에 프로젝트 발표 후 24시간도 채 안되어 첫 번째 기여가 이루어졌습니다 . 그 이후로 LOLDrivers 웹사이트에는 4.8k의 신규 사용자가 있었으며 LenovoDiagnosticsDriver .sys 가 가장 많이 방문한 드라이버였습니다. 지난 30일 동안에만 기여자가 13개의 새로운 드라이버를 저장소에 추가했습니다. 우리는 커뮤니티의 반응에 감격하며 프로젝트를 더욱 개선하는 데 도움이 되는 지속적인 기여에 감사드립니다.

지역 사회

릴리스 항목 목록을 살펴보기 전에 커뮤니티의 반응을 강조하고 싶습니다. 여기에는 트윗, 간행물, 프로젝트 및 LOLDrivers 프로젝트가 활용되거나 언급된 기타 사례가 포함됩니다.

LOLDrivers 클라이언트

LOLDrivers-client.exe -m [MODE] [OPTIONS]

Modes:
    online    Download the newest driver set (default)
    local     Use a local drivers.json file (requires '-f')
    internal  Use the built-in driver set (can be outdated)

Options:
    -d Directory to scan for drivers (default: Windows Default)
    -f File path to 'drivers.json' for mode 'local'
    -t Number of threads to spawn (default: 20)
    -v Print verbose messages (default: false)
    -h Shows this text

토르와 로키

https://github.com/Neo23x0/signature-base/blob/master/iocs/hash-iocs.txt#L10827
https://github.com/Neo23x0/Loki/releases

https://github.com/0xjxd/KQL-Hunting/blob/main/MDE-LOLDRIVERS.kql

https://github.com/mgreen27/DetectRaptor/blob/master/vql/LolDrivers.yaml

https://github.com/rweijnen/Posh-Snippets/blob/master/ScanLolDrivers.ps1

https://github.com/fr0gger/Awesome_Malware_Techniques

SANS 인터넷 폭풍 센터

https://isc.sans.edu/podcastdetail.html?id=8444

https://gist.github.com/schrodyn/45eab4f9229f116e2cfd2c427a84fdd6

1. 새로운 드라이버 강화

이 릴리스에서는 새로운 metadata-extractor를 활용하는 매우 중요한 모든 드라이버 메타데이터를 포함하는 각 드라이버에 대한 새 섹션을 추가했습니다 . 예를 들어 Authentihash를 추가하면 파일을 고유하게 식별하고 유효성을 검사하는 효율적인 방법이 제공됩니다. 기타 메타데이터 필드에는 파일 해시(MD5, SHA1 및 SHA256), 서명, 날짜, 게시자, 회사, 설명, 제품, 제품 버전, 파일 버전, 시스템 유형, 원래 파일 이름, 내부 이름, 저작권, 가져오기, 내보낸 기능 및 PDB 경로. 이러한 강화는 분석가와 연구원이 리포지토리의 동인을 더 잘 이해하고 조사하는 데 도움이 됩니다.

이제 JSON 및 CSV 파일 에 모든 새 특성이 포함됩니다. 여기에 원시 YAML 헤드를 원하는 경우 YAML .

또한 여기에 수집된 모든 Authentihash 목록을 추가했습니다.

모든 옵션

먼저 이제 각 드라이버에 모든 메타데이터가 추가되었음을 알 수 있습니다.

드라이버 페이지에서 아래로 스크롤하면 이제 드라이버 가져오기, 내보내기 및 모든 서명 정보가 표시됩니다.

원시 YAML에는 모든 속성이 포함됩니다.

2. drivers/ 디렉토리 아래의 드라이버 바이너리

우리는 드라이버를 drivers/ 디렉토리에 저장하기 위해 Git LFS를 사용하기 시작했습니다. 이제 각 릴리스에는 이러한 모든 바이너리가 포함된 drivers.zip 파일이 있습니다 . 이를 통해 분석가는 프로젝트 내의 모든 동인을 편리하게 다운로드하고 분석할 수 있습니다. 바이너리는 파일의 <md5>.bin 형식에 따라 이름이 지정됩니다.

3. 드라이버 이름 대신 UUID로 변경

리포지토리로 작업하고 드라이버 이름을 기반으로 시그마 규칙을 검토하는 동안 시간이 지남에 따라 프로젝트가 확장됨에 따라 중복 이름이 발생할 수 있음을 인식했습니다. 우리는 UUID를 채택하고 드라이버 이름을 태그로 할당하여 체계를 수정하기로 결정했습니다. 이 업데이트는 무한한 드라이버 세트를 허용합니다. 또한 원래 드라이버 이름을 알 수 없는 경우 원래 파일 이름 특성을 활용합니다.

주요 차이점은 URL이 UUID를 기반으로 한다는 것입니다.https://www.loldrivers.io/drivers/275c80c5-a67c-4536-b29e-4e481242cb01/

4. 탄력적 드라이버 추가

Nasreddine은 Elastic 드라이버 yara 세트를 자세히 살펴보고 총 740개 이상의 드라이버가 포함된 스프레드시트를 생성할 수 있었습니다. VTI 쿼리를 사용하여 모든 메타데이터를 수집하고 csv 출력을 생성한 다음 모든 드라이버를 다운로드하고 프로젝트에 추가했습니다!

VirusTotal 강화 스크립트:https://gist.github.com/nasbench/93b55c1fbe01d8341b7c9ed80a80ebbc

보강된 데이터 스프레드시트:https://docs.google.com/spreadsheets/d/1lTNqD2t9UbFOLQbNWeLVbN8XCK8Dd72XavEQrkvtZVY/edit?usp=sharing

그런 다음 Nasreddine은 드라이버 바이너리와 전체 새 yaml 파일 세트로 대규모 PR을 제공했습니다.

https://github.com/magicsword-io/LOLDrivers/pull/63

LOLDrivers 웹사이트는 최신 바이너리에 대한 새로운 메타데이터 및 링크를 포함하도록 업데이트되었습니다. 랜딩 페이지는 이제 드라이버의 SHA256 해시를 표시하여 사용자의 탐색 및 정보 검색을 더욱 단순화합니다.

6. YAML 사양으로 업데이트된 검증 CI 작업

일관성을 유지하고 YAML 구성 문제를 자동으로 검증/보고하기 위해 검증 CI 작업을 jsonschema 사양 으로 업데이트했습니다 . 이 개선 사항은 커뮤니티의 누군가가 PR을 만들 때 프로세스를 간소화하는 데 도움이 됩니다. 우리는 모든 커뮤니티 기여에 감사하고 환영합니다!

7. 릴리스 CI 작업 추가

프로젝트 릴리스를 생성하기 위해 릴리스 CI 작업을 추가했습니다 . 이를 통해 프로젝트를 개선할 때 스냅샷 인 타임 빌드를 사용할 수 있습니다. CI 작업은 또한 driver.zip 파일을 생성하고 릴리스 정보를 포함하므로 프로젝트 진행 상황에 대한 정보를 훨씬 더 쉽게 얻을 수 있습니다.

8. 커뮤니티 기여를 통해 추가된 새로운 드라이버

커뮤니티는 프로젝트에 적극적으로 기여해 왔으며 추가된 몇 가지 새로운 동인을 강조하고 싶습니다.

- dcr.sys

- SSPORT.sys

-LgCoreTemp.sys _

- bedaisy.sys

- RTCore64.sys (새 해시)

- hw.sys (새 해시)

- windbg.sys

- Sense5Ext.sys 에 해시 추가

- KApcHelper_x64.sys 추가

- mJj0ge.sys 추가

- prokiller64.sys 추가

- fur.sys 추가

- procexp152.sys

LOLDrivers 프로젝트의 범위를 확장하는 데 도움을 주신 모든 기여자에게 감사드립니다!

결론

Living Off The Land Drivers 프로젝트의 1.0 릴리스는 수많은 개선 사항과 업데이트를 제공하여 분석가와 연구원에게 훨씬 더 귀중한 리소스를 제공합니다. 커뮤니티의 지속적인 지원에 감사드립니다.

커뮤니티와 관리자에게 큰 감사를 드립니다!

goosvorbook , hRun , VoidSec , Wack0 , X90e , hfiref0x 및 BlureL 등 프로젝트에 기여한 커뮤니티 회원들에게 진심으로 감사드립니다 . 여러분의 헌신과 노력은 LOLDrivers의 성장과 성공에 중요한 역할을 했습니다. 우리는 또한 프로젝트 관리자인 Nas, Mike 및 Jose의 귀중한 작업을 인정하고 싶습니다. 그들의 헌신과 노력은 계속해서 프로젝트를 추진하고 보안 커뮤니티의 필수 리소스로 만듭니다.