HolyGrail

Ein BYOVD-Jäger, der nach dem HolyGrail-Treiber sucht – Windows-Treiber, die für BYOVD geeignet sind.

Installation

git clone https://github.com/BlackSnufkin/HolyGrail
cd HolyGrail
cargo build --release

Schnellstart

HolyGrail.exe -d "C:\path\to\driver.sys"

Füge JSON-Ausgabe, ein eigenes Ausgabeverzeichnis und ein Richtlinienverzeichnis hinzu, falls du sie benötigst:

HolyGrail.exe -d "C:\path\to\driver.sys" -o ".\out" -p ".\Policies" --json

CLI

Usage: HolyGrail.exe [OPTIONS]

Options:
  -d, --driver <DRIVER_FILE>          Path to the driver file (.sys) to analyze
  -D, --directory <DRIVER_DIRECTORY>  Directory containing driver files to analyze
  -o, --output <OUTPUT_DIRECTORY>     Output directory for analysis results [default: .\Analysis]
  -p, --policies <POLICY_DIRECTORY>   Path to directory containing policy files [default: Policies]
  -j, --json                          Output results in JSON format instead of text
  -v, --verbose                       Enable verbose logging
  -h, --help                          Print help
  -V, --version                       Print version

Was es prüft

• Kernel-Importe, die häufig in BYOVD-Ketten verwendet werden (Speicher/MDL, Section-/VM-Mapping, prozessübergreifendes Lesen/Schreiben, Prozesssteuerung, Geräte-I/O).
• Blockrichtlinien: vergleicht den Treiber mit Microsofts Windows 10/11 Driver Block Policy (Dateiversion, AuthCode-Hash, Zertifikat).
• LoLDrivers: kennzeichnet, wenn der Treiber dort auftaucht.
• Grundlegende Kommunikationshinweise: Geräteschnittstellen, die auf eine einfache User-Mode-Brücke hindeuten.

Richtliniendateien

Lege diese in das Policies-Verzeichnis (oder verweise mit -p auf deren Speicherort):

Policies/
├── lol_drivers.json
├── Win10_MicrosoftDriverBlockPolicy.json
└── Win11_MicrosoftDriverBlockPolicy.json

Was als „HolyGrail“-Treiber gilt

• Verfügt über die richtigen Importe für deine Technik (z. B. prozessübergreifendes Lesen/Schreiben, Section-Mapping, Beendigung).
• Nicht auf LoLDrivers (weniger Aufmerksamkeit von Verteidigern).
• Nicht blockiert unter Windows 10 und Windows 11 (lädt ohne Richtlinienprobleme).
• Besitzt einen Kommunikationspfad (IOCTLs/Geräteobjekte) für eine einfache Steuerung.

Anwendungsfälle

• Red Teams: Legitime, ladbare Treiber mit den benötigten Primitiven aufspüren.
• Forscher: Neue Kandidaten kartieren und reale Angriffsflächen untersuchen.
• Verteidiger (optional): Den eigenen Gerätebestand auf BYOVD-Risiken prüfen.