UnderlayCopy

UnderlayCopy هي أداة مساعدة مكتوبة بلغة PowerShell للاستحواذ منخفض المستوى على نظام NTFS وتفريغ ملفات النظام المحمية والمقفلة (مثل: SAM وSYSTEM وNTDS.dit وسجلات الريجستري والملفات الأخرى التي لا يمكن الوصول إليها عادةً أثناء تشغيل Windows). تدعم وضعين متكاملين لتحقيق ذلك دون استخدام VSS أو الإدخال/الإخراج القياسي للملفات:

• وضع MFT: تحليل سجلات $MFT وإعادة بناء/نسخ بيانات الملفات عبر قراءة قطاعات الحجم الخام.
• وضع البيانات الوصفية: استخدام بيانات نظام الملفات الوصفية (fsutil) لربط الملفات بالعناقيد (clusters) ونسخ القطاعات الخام.

الغرض: الأبحاث، وتمارين الفريق الأحمر، واستحواذ DFIR. ليس للاستخدام في: الوصول غير المصرح به أو الاستخدام الخبيث.

الميزات

• دعم وحدات تخزين NTFS المحلية.
• يعمل دون الاعتماد على VSS أو واجهات برمجة تطبيقات الإدخال/الإخراج القياسية للملفات.

الاستخدام

المتطلبات الأساسية

• صلاحيات المسؤول (Administrator).

مثال

   .\UnderlayCopy.ps1
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\System32\config\SAM -DestinationFile C:\Windows\Temp\sam.dmp
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp
   Underlay-Copy -Mode Metadata -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp

التدقيق والكشف

• راقب عمليات القراءة الخام من وحدات التخزين (مقابض مفتوحة إلى \\.\PhysicalDriveN أو \\.\C: بصلاحية وصول RAW).
• راقب الوصول المباشر إلى ملفات النظام الحساسة (مثل: C:\Windows\System32\config\SAM وC:\Windows\System32\config\SYSTEM وC:\Windows\NTDS\NTDS.dit) ونبّه عند حدوث قراءات أو نسخ غير متوقعة لهذه الملفات.
• نبّه عند قيام العمليات بقراءة $MFT أو تنفيذ قراءات كبيرة غير مخزنة مؤقتًا على وحدات التخزين الفعلية.
• تتبّع الاستخدام غير المعتاد لأداة fsutil والاستدعاءات المشبوهة لواجهات Win32 منخفضة المستوى (CreateFile مع مسار وحدة تخزين أو مسار فيزيائي).