HolyGrail

Un cazador de BYOVD para encontrar el driver HolyGrail: drivers de Windows aptos para BYOVD.

Instalación

git clone https://github.com/BlackSnufkin/HolyGrail
cd HolyGrail
cargo build --release

Inicio rápido

HolyGrail.exe -d "C:\path\to\driver.sys"

Añade salida JSON, directorio de salida personalizado y directorio de políticas si lo necesitas:

HolyGrail.exe -d "C:\path\to\driver.sys" -o ".\out" -p ".\Policies" --json

CLI

Usage: HolyGrail.exe [OPTIONS]

Options:
  -d, --driver <DRIVER_FILE>          Path to the driver file (.sys) to analyze
  -D, --directory <DRIVER_DIRECTORY>  Directory containing driver files to analyze
  -o, --output <OUTPUT_DIRECTORY>     Output directory for analysis results [default: .\Analysis]
  -p, --policies <POLICY_DIRECTORY>   Path to directory containing policy files [default: Policies]
  -j, --json                          Output results in JSON format instead of text
  -v, --verbose                       Enable verbose logging
  -h, --help                          Print help
  -V, --version                       Print version

Qué comprueba

• Importaciones del kernel utilizadas habitualmente en cadenas BYOVD (memoria/MDL, mapeo de secciones/VM, R/W entre procesos, control de procesos, E/S de dispositivos).
• Políticas de bloqueo: compara el driver con la Directiva de bloqueo de drivers de Microsoft para Windows 10/11 (versión de archivo, hash de AuthCode, certificado).
• LoLDrivers: marca si el driver aparece allí.
• Pistas básicas de comunicación: interfaces de dispositivo que sugieren un puente fácil a modo de usuario.

Archivos de políticas

Colócalos en el directorio Policies (o apunta -p a donde se encuentren):

Policies/
├── lol_drivers.json
├── Win10_MicrosoftDriverBlockPolicy.json
└── Win11_MicrosoftDriverBlockPolicy.json

Qué cuenta como driver “HolyGrail”

• Tiene las importaciones adecuadas para tu técnica (p. ej., R/W entre procesos, mapeo de secciones, terminación).
• No está en LoLDrivers (menos atención por parte de los defensores).
• No está bloqueado en Windows 10 y Windows 11 (se carga sin problemas de directivas).
• Tiene una vía de comunicación (IOCTLs/objetos de dispositivo) para un control sencillo.

Casos de uso

• Equipos rojos: descubre drivers legítimos y cargables con las primitivas que necesitas.
• Investigadores: mapea nuevos candidatos y estudia superficies de ataque del mundo real.
• Defensores (opcional): audita tu parque de equipos para detectar riesgos de BYOVD.