HolyGrail

Un cacciatore BYOVD per trovare il driver HolyGrail - driver Windows adatti per BYOVD.

Install

git clone https://github.com/BlackSnufkin/HolyGrail
cd HolyGrail
cargo build --release

Avvio rapido

HolyGrail.exe -d "C:\path\to\driver.sys"

Aggiungi output JSON, directory di output personalizzata e directory delle policy se necessario:

HolyGrail.exe -d "C:\path\to\driver.sys" -o ".\out" -p ".\Policies" --json

CLI

Usage: HolyGrail.exe [OPTIONS]

Options:
  -d, --driver <DRIVER_FILE>          Percorso del file driver (.sys) da analizzare
  -D, --directory <DRIVER_DIRECTORY>  Directory contenente i file driver da analizzare
  -o, --output <OUTPUT_DIRECTORY>     Directory di output per i risultati dell'analisi [default: .\Analysis]
  -p, --policies <POLICY_DIRECTORY>   Percorso della directory contenente i file delle policy [default: Policies]
  -j, --json                          Output dei risultati in formato JSON anziché testo
  -v, --verbose                       Abilita logging dettagliato
  -h, --help                          Stampa l'aiuto
  -V, --version                       Stampa la versione

Cosa controlla

• Import del kernel comunemente usati nelle catene BYOVD (memoria/MDL, mapping di sezioni/VM, lettura/scrittura cross-process, controllo dei processi, I/O del dispositivo).
• Policy di blocco: confronta il driver con la Microsoft Driver Block Policy di Windows 10/11 (Versione file, Hash AuthCode, Certificato).
• LoLDrivers: segnala se il driver appare lì.
• Suggerimenti base per comunicazioni: interfacce di dispositivo che suggeriscono un facile ponte in modalità utente.

File delle policy

Metti questi nella directory Policies (o punta -p a dove si trovano):

Policies/
├── lol_drivers.json
├── Win10_MicrosoftDriverBlockPolicy.json
└── Win11_MicrosoftDriverBlockPolicy.json

Cosa costituisce un driver "HolyGrail"

• Ha gli import giusti per la tua tecnica (es., lettura/scrittura cross-process, mapping di sezioni, terminazione).
• Non elencato in LoLDrivers (meno attenzione dai difensori).
• Non bloccato su Windows 10 e Windows 11 (si carica senza problemi di policy).
• Ha un percorso di comunicazione (IOCTL/oggetti dispositivo) per un facile controllo.

Casi d'uso

• Red team: metti in luce driver legittimi e caricabili con le primitive di cui hai bisogno.
• Ricercatori: mappa nuovi candidati e studia superfici di attacco reali.
• Difensori (opzionale): analizza la tua flotta per il rischio BYOVD.