HolyGrail

Un chasseur BYOVD pour trouver le driver HolyGrail - les pilotes Windows adaptés au BYOVD.

Installation

git clone https://github.com/BlackSnufkin/HolyGrail
cd HolyGrail
cargo build --release

Démarrage rapide

HolyGrail.exe -d "C:\path\to\driver.sys"

Ajoutez la sortie JSON, un dossier de sortie personnalisé et le dossier de stratégies si nécessaire :

HolyGrail.exe -d "C:\path\to\driver.sys" -o ".\out" -p ".\Policies" --json

CLI

Usage: HolyGrail.exe [OPTIONS]

Options:
  -d, --driver <DRIVER_FILE>          Path to the driver file (.sys) to analyze
  -D, --directory <DRIVER_DIRECTORY>  Directory containing driver files to analyze
  -o, --output <OUTPUT_DIRECTORY>     Output directory for analysis results [default: .\Analysis]
  -p, --policies <POLICY_DIRECTORY>   Path to directory containing policy files [default: Policies]
  -j, --json                          Output results in JSON format instead of text
  -v, --verbose                       Enable verbose logging
  -h, --help                          Print help
  -V, --version                       Print version

Ce qu'il vérifie

• Imports du noyau couramment utilisés dans les chaînes BYOVD (mémoire/MDL, mappage de sections/VM, lecture/écriture inter-processus, contrôle de processus, E/S de périphérique).
• Stratégies de blocage : compare le driver aux stratégies de blocage de pilotes de Microsoft pour Windows 10/11 (version de fichier, hash AuthCode, certificat).
• LoLDrivers : signale si le driver y figure.
• Indices de communication de base : interfaces de périphérique qui suggèrent un pont mode utilisateur facile.

Fichiers de stratégie

Placez-les dans le dossier Policies (ou indiquez leur emplacement avec -p) :

Policies/
├── lol_drivers.json
├── Win10_MicrosoftDriverBlockPolicy.json
└── Win11_MicrosoftDriverBlockPolicy.json

Ce qui constitue un driver « HolyGrail »

• Possède les bons imports pour votre technique (par exemple, lecture/écriture inter-processus, mappage de sections, terminaison).
• Absent de LoLDrivers (moins d’attention des défenseurs).
• Non bloqué sur Windows 10 et Windows 11 (se charge sans problème de stratégie).
• Dispose d’un canal de communication (IOCTLs/objets de périphérique) pour un contrôle facile.

Cas d'utilisation

• Red teams : mettent en évidence des pilotes légitimes et chargeables offrant les primitives dont vous avez besoin.
• Chercheurs : cartographier de nouveaux candidats et étudier les surfaces d’attaque réelles.
• Défenseurs (facultatif) : auditez votre parc de machines pour détecter les risques BYOVD.