HolyGrail

Um caçador de BYOVD para encontrar o driver HolyGrail - drivers Windows adequados para BYOVD.

Instalação

git clone https://github.com/BlackSnufkin/HolyGrail
cd HolyGrail
cargo build --release

Início rápido

HolyGrail.exe -d "C:\path\to\driver.sys"

Adicione saída JSON, diretório de saída personalizado e diretório de políticas, se precisar:

HolyGrail.exe -d "C:\path\to\driver.sys" -o ".\out" -p ".\Policies" --json

CLI

Usage: HolyGrail.exe [OPTIONS]

Options:
  -d, --driver <DRIVER_FILE>          Path to the driver file (.sys) to analyze
  -D, --directory <DRIVER_DIRECTORY>  Directory containing driver files to analyze
  -o, --output <OUTPUT_DIRECTORY>     Output directory for analysis results [default: .\Analysis]
  -p, --policies <POLICY_DIRECTORY>   Path to directory containing policy files [default: Policies]
  -j, --json                          Output results in JSON format instead of text
  -v, --verbose                       Enable verbose logging
  -h, --help                          Print help
  -V, --version                       Print version

O que ele verifica

• Importações de kernel comumente usadas em cadeias BYOVD (memória/MDL, mapeamento de seção/VM, R/W entre processos, controle de processos, E/S de dispositivo).
• Políticas de bloqueio: compara o driver com a Política de Bloqueio de Drivers do Windows 10/11 da Microsoft (Versão do Arquivo, AuthCode Hash, Certificado).
• LoLDrivers: sinaliza se o driver aparecer nessa lista.
• Dicas básicas de comunicação: interfaces de dispositivo que sugerem uma ponte fácil no modo de usuário.

Arquivos de políticas

Coloque estes no diretório Policies (ou aponte -p para o local onde eles estão):

Policies/
├── lol_drivers.json
├── Win10_MicrosoftDriverBlockPolicy.json
└── Win11_MicrosoftDriverBlockPolicy.json

O que conta como um driver “HolyGrail”

• Tem as importações certas para sua técnica (por exemplo, R/W entre processos, mapeamento de seção, terminação).
• Não está no LoLDrivers (menos atenção dos defensores).
• Não bloqueado no Windows 10 e no Windows 11 (carrega sem problemas de política).
• Tem um caminho de comunicação (IOCTLs/objetos de dispositivo) para controle fácil.

Casos de uso

• Red teams: apresentar drivers legítimos e carregáveis com as primitivas que você precisa.
• Pesquisadores: mapeiem novos candidatos e estudem superfícies de ataque do mundo real.
• Defensores (opcional): auditem sua frota para risco de BYOVD.