BitLocker VMK-Carving-Tool

Dieses Python-Skript hilft Ihnen, potenzielle BitLocker Volume Master Keys (VMKs) aus Speicherauszugsdateien zu extrahieren, wie sie beispielsweise durch einen Blue Screen of Death (BSOD) erzeugt werden. Es ist ein Kommandozeilenwerkzeug, das bei forensischen Untersuchungen mit BitLocker-Verschlüsselung unterstützt. Obwohl es für BSOD-Dumps gedacht ist, funktioniert es auch mit Datenträger-Images, exportiertem nicht zugewiesenem Speicherplatz,

Demo zur Nutzung und zum Mounten eines Laufwerks mit Schlüssel: https://www.youtube.com/watch?v=PFWVIZsGOaI&feature=youtu.be

Anwendungsfall

Ich habe dieses Tool entwickelt, um gesperrte OneDrive-Tresore zu entsperren. Wenn ein von Ihnen untersuchter Computer abstürzte, während der Volume geöffnet war, können Sie damit die Tresordaten des Verdächtigen untersuchen.

Funktionsweise

Das Skript durchsucht die Binärdaten einer Speicherauszugsdatei nach bestimmten Bytepuffern, die auf das Vorhandensein eines BitLocker Volume Master Key-Headers hinweisen. Wenn es einen findet, extrahiert es die darauf folgenden 64 Hexadezimalzeichen, die den potenziellen VMK darstellen. Es enthält außerdem einen Filterungsschritt, um häufige Fehlalarme zu entfernen.

Funktionen

Speicherauszugsanalyse: Verarbeitet MEMORY.DMP-Dateien, um potenzielle BitLocker-VMKs zu identifizieren.
Mustererkennung: Verwendet reguläre Ausdrücke, um die eindeutige VMK-Header-Signatur zu lokalisieren.
Fehlalarmfilterung: Enthält einen einfachen Filter, um irrelevante Ergebnisse zu reduzieren.
Einfache Befehlszeilenschnittstelle: Einfach zu bedienen, indem die Speicherauszugsdatei als Argument angegeben wird.

Voraussetzungen

Python 3.x

Verwendung

Skript speichern: Speichern Sie den bereitgestellten Python-Code als bitlocker_carve.py (oder einen beliebigen anderen .py-Dateinamen).
Speicherauszug besorgen: Stellen Sie sicher, dass Sie eine MEMORY.DMP-Datei (oder eine andere Speicherauszugsdatei) haben, die Sie analysieren möchten.
Skript ausführen: Öffnen Sie ein Terminal oder eine Eingabeaufforderung, navigieren Sie zu dem Verzeichnis, in dem Sie das Skript und den Speicherauszug gespeichert haben, und führen Sie das Skript mit der Speicherauszugsdatei als Argument aus:


python bitlocker_carve.py MEMORY.DMP

Ersetzen Sie MEMORY.DMP durch den tatsächlichen Pfad zu Ihrer Speicherauszugsdatei, falls sie sich nicht im selben Verzeichnis befindet.

Beispielausgabe

[+] Found MEMORY.DMP.
[+] Found 1 potential BitLocker VMK key(s):
    1: a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2
Press Enter to exit...

Wichtige Hinweise

Dieses Tool identifiziert potenzielle BitLocker-VMKs. Möglicherweise sind weitere Analysen erforderlich, um ihre Gültigkeit zu bestätigen.
Die Effektivität dieses Tools hängt von der Qualität und Vollständigkeit des Speicherauszugs ab.
Behandeln Sie Speicherauszüge und extrahierte Schlüssel stets mit angemessenen Sicherheitsmaßnahmen.

Danksagungen

Ein großes Dankeschön an WithSecureLabs/bitlocker-spi-toolkit für ihre grundlegende Arbeit, die dieses Skript maßgeblich inspiriert und ermöglicht hat.

BSOD_bitlocker_recover

Beliebteste