HolyGrail

Охотник BYOVD для поиска драйвера HolyGrail — Windows-драйверы, подходящие для BYOVD.

Установка

git clone https://github.com/BlackSnufkin/HolyGrail
cd HolyGrail
cargo build --release

Быстрый старт

HolyGrail.exe -d "C:\path\to\driver.sys"

Добавьте вывод JSON, пользовательскую выходную директорию и директорию политик, если необходимо:

HolyGrail.exe -d "C:\path\to\driver.sys" -o ".\out" -p ".\Policies" --json

CLI

Usage: HolyGrail.exe [OPTIONS]

Options:
  -d, --driver <DRIVER_FILE>          Path to the driver file (.sys) to analyze
  -D, --directory <DRIVER_DIRECTORY>  Directory containing driver files to analyze
  -o, --output <OUTPUT_DIRECTORY>     Output directory for analysis results [default: .\Analysis]
  -p, --policies <POLICY_DIRECTORY>   Path to directory containing policy files [default: Policies]
  -j, --json                          Output results in JSON format instead of text
  -v, --verbose                       Enable verbose logging
  -h, --help                          Print help
  -V, --version                       Print version

Что проверяет

• Импорты ядра, обычно используемые в цепочках BYOVD (memory/MDL, section/VM mapping, cross-proc R/W, process control, device I/O).
• Политики блокировки: сравнивает драйвер с политикой блокировки драйверов Microsoft Windows 10/11 (File Version, AuthCode Hash, Certificate).
• LoLDrivers: отмечает, если драйвер там присутствует.
• Базовые подсказки взаимодействия: интерфейсы устройств, указывающие на простой мост пользовательского режима.

Файлы политик

Поместите их в директорию Policies (или укажите -p на их расположение):

Policies/
├── lol_drivers.json
├── Win10_MicrosoftDriverBlockPolicy.json
└── Win11_MicrosoftDriverBlockPolicy.json

Что считается «HolyGrail»-драйвером

• Имеет правильные импорты для вашей техники (например, cross-process R/W, section mapping, termination).
• Не числится в LoLDrivers (меньше внимания защитников).
• Не заблокирован в Windows 10 и Windows 11 (загружается без проблем с политиками).
• Имеет путь взаимодействия (IOCTLs/device objects) для простого управления.

Варианты использования

• Красные команды: находят легитимные, загружаемые драйверы с необходимыми примитивами.
• Исследователи: картируют новые кандидаты и изучают реальные поверхности атак.
• Защитники (опционально): аудит ваших систем на риск BYOVD.