BSOD_bitlocker_recover

أداة استخراج مفاتيح VMK الخاصة بـ BitLocker

تساعدك هذه السكريبت بلغة بايثون على استخراج مفاتيح الحجم الرئيسية المحتملة لـ BitLocker (VMKs) من ملفات تفريغ الذاكرة، مثل تلك الناتجة عن شاشة الموت الزرقاء (BSOD). إنها أداة سطر أوامر مصممة للمساعدة في التحقيقات الجنائية التي تتضمن تشفير BitLocker. على الرغم من أنها مخصصة لتفريغات BSOD، إلا أنها تعمل أيضًا على صور الأقراص ومساحة القرص غير المخصصة المُصدرة.

عرض توضيحي للاستخدام وتركيب القرص بالمفتاح: https://www.youtube.com/watch?v=PFWVIZsGOaI&feature=youtu.be

حالة الاستخدام

صممت هذه الأداة لفتح خزائن OneDrive المقفلة؛ إذا تعطل جهاز كمبيوتر تفحصه أثناء فتح الحجم، فسيسمح لك ذلك بفحص بيانات خزينة المشتبه به.

كيفية العمل

يعمل السكريبت عن طريق البحث في البيانات الثنائية لملف تفريغ الذاكرة عن أنماط بايت محددة تشير إلى وجود رأس مفتاح حجم رئيسي لـ BitLocker. بمجرد تحديده، يقوم باستخراج الأحرف الستة والستين العشرية التالية، والتي تمثل مفتاح VMK المحتمل. كما يتضمن خطوة تصفية لإزالة النتائج الإيجابية الخاطئة الشائعة.

الميزات

تحليل تفريغ الذاكرة: يعالج ملفات MEMORY.DMP لتحديد مفاتيح VMK المحتملة لـ BitLocker.
مطابقة الأنماط: يستخدم التعبيرات المنتظمة لتحديد توقيع رأس VMK الفريد.
تصفية النتائج الإيجابية الخاطئة: يتضمن مرشحًا أساسيًا لتقليل النتائج غير ذات الصلة.
واجهة سطر أوامر بسيطة: سهلة الاستخدام من خلال توفير ملف تفريغ الذاكرة كوسيطة.

المتطلبات

بايثون 3.x

الاستخدام

احفظ السكريبت: احفظ كود بايثون المقدم كملف bitlocker_carve.py (أو أي اسم ملف .py آخر).

احصل على تفريغ ذاكرة: تأكد من أن لديك ملف MEMORY.DMP (أو أي ملف تفريغ ذاكرة آخر) ترغب في تحليله.

شغّل السكريبت: افتح طرفية أو موجه أوامر، وانتقل إلى المجلد الذي حفظت فيه السكريبت وتفريغ الذاكرة، ثم نفّذ السكريبت مع ملف تفريغ الذاكرة كوسيطة:
Bash

python bitlocker_carve.py MEMORY.DMP

استبدل MEMORY.DMP بالمسار الفعلي لملف تفريغ الذاكرة إذا لم يكن في نفس المجلد.

مثال على الإخراج

[+] Found MEMORY.DMP. [+] Found 1 potential BitLocker VMK key(s): 1: a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2 Press Enter to exit...

ملاحظات مهمة

تحدد هذه الأداة مفاتيح VMK المحتملة لـ BitLocker. قد يتطلب الأمر تحليلًا إضافيًا لتأكيد صحتها.
تعتمد فعالية هذه الأداة على جودة واكتمال تفريغ الذاكرة.
تعامل دائمًا مع تفريغات الذاكرة والمفاتيح المستخرجة بإجراءات أمنية مناسبة.

الشكر والتقدير

شكر كبير لـ WithSecureLabs/bitlocker-spi-toolkit على عملهم التأسيسي، الذي ألهم بشكل كبير وجعل هذا السكريبت ممكنًا.