UnderlayCopy

UnderlayCopy ist ein PowerShell-Dienstprogramm für die Low-Level-NTFS-Akquisition und das Auslesen geschützter, gesperrter Systemartefakte (zum Beispiel: SAM, SYSTEM, NTDS.dit, Registry-Hives und andere Dateien, die bei laufendem Windows normalerweise unzugänglich sind). Es unterstützt zwei komplementäre Modi, um dies ohne VSS oder herkömmliche Datei-I/O zu erreichen:

• MFT-Modus: parst $MFT-Datensätze und rekonstruiert/kopiert Dateidaten durch das Lesen roher Volume-Sektoren.
• Metadaten-Modus: nutzt Dateisystem-Metadaten (fsutil), um Dateien Clustern zuzuordnen und rohe Sektoren zu kopieren.

Zweck: Forschung, Red-Team-Übungen und DFIR-Akquisition. Nicht für: unbefugten Zugriff oder böswillige Nutzung.

Funktionen

• Unterstützt lokale NTFS-Volumes.
• Arbeitet ohne Rückgriff auf VSS oder herkömmliche Datei-I/O-APIs.

Verwendung

Voraussetzungen

• Administratorrechte

Beispiel

   .\UnderlayCopy.ps1
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\System32\config\SAM -DestinationFile C:\Windows\Temp\sam.dmp
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp
   Underlay-Copy -Mode Metadata -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp

Überwachung und Erkennung

• Überwachung auf Raw-Volume-Lesevorgänge (Handles, die mit RAW-Zugriff auf \.\PhysicalDriveN oder \.\C: geöffnet wurden)
• Überwachung des direkten Zugriffs auf sensible Systemdateien (zum Beispiel: C:\Windows\System32\config\SAM, C:\Windows\System32\config\SYSTEM, C:\Windows\NTDS\NTDS.dit) und Alarmierung bei unerwarteten Lese- oder Kopiervorgängen dieser Dateien.
• Alarmierung bei Prozessen, die $MFT lesen oder große ungepufferte Lesevorgänge auf physischen Volumes durchführen.
• Verfolgung ungewöhnlicher Nutzung von fsutil und verdächtiger Aufrufe von Low-Level-Win32-APIs (CreateFile mit Volume- oder physischem Pfad).