Funciones:

• 🐏 Capturar una imagen de memoria con MAGNET DumpIt (soporta x86, x64 y ARM64) o MAGNET RAM Capture para sistemas heredados.
• 💻 Recolectar datos de triaje usando MAGNET Response CLI, con perfiles seleccionables u opciones personalizadas.
• 🔐 Detectar cifrado de disco completo usando MAGNET Encrypted Disk Detector.
• 🔑 Recuperar claves de recuperación de BitLocker de todos los volúmenes cifrados.
• 💾 Almacenar los datos recolectados, registros e imágenes de memoria en un dispositivo USB o en una ubicación de red definida.
• 📈 Monitoreo de progreso en tiempo real durante la recolección.
• 📄 Informes completos con datos volátiles previos a la recolección y hashes de integridad.

Los perfiles de recolección incluyen:

• QuickTriage - Volátil + Archivos del Sistema (sin RAM) - se completa en ~2 minutos
• Volatile - Solo datos volátiles (conexiones de red, registro, procesos en ejecución)
• RAMOnly - Solo volcado de memoria
• RAMPage - RAM + Archivo de página
• RAMSystem - RAM + Archivos críticos del sistema
• Default (Full Triage) - RAM + Archivo de página + Volátil + Artefactos del sistema

Requisitos previos:

• MAGNET Response
• MAGNET Encrypted Disk Detector

Recolecciones en red:

CyberPipe permite guardar la salida directamente en un recurso compartido de red usando el parámetro -Net. Simplemente especifique la ruta UNC (ej., \\server\share) y el script mapeará automáticamente la unidad de red y realizará la recolección. Esto es ideal para flujos de trabajo DFIR automatizados activados por alertas de EDR o SOC.

.\CyberPipe.ps1 -Net "\\server\share"

Nuevo en 5.3:

Corrección crítica del código de salida en PS 5.1

• Corregido: Falsos fallos en Windows PowerShell 5.1 después de una recolección exitosa con Magnet Response
• Causa raíz: Error de PS 5.1 donde $process.ExitCode no se poblaba de manera confiable después de WaitForExit()
• Solución: Se implementó validación dual:
  • Verificación del código de salida del proceso con actualización del objeto
  • Verificación de archivos recolectados (indicador de éxito más confiable)
  • Manejo inteligente de errores: continúa si los archivos se recolectaron correctamente a pesar de un código de salida distinto de cero

Fiabilidad mejorada

• Lógica de validación mejorada que verifica los artefactos recolectados reales en lugar de depender únicamente de los códigos de salida
• Manejo elegante de peculiaridades específicas de la versión de PowerShell
• Mensajes de error mejorados que distinguen entre fallos genuinos y problemas de reporte de PS 5.1

Ejemplos de uso:

• Ejecutar triaje completo (perfil de recolección predeterminado) en unidad USB local: (RAM, Archivo de página, Volátil, Archivos del Sistema)

  root@kitploit:~

  .\CyberPipe.ps1 
  

• Ejecutar captura de RAM y archivos del sistema operativo (triaje ligero):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Ejecutar captura solo de memoria:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMOnly
  

• Ejecutar captura de RAM y archivo de página:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMPage
  

• Ejecutar captura de RAM y archivos del sistema operativo (triaje ligero):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Ejecutar captura solo volátil:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile Volatile
  

• Ejecutar triaje rápido (recolección rápida):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile QuickTriage
  

• Ejecutar triaje completo con compresión:

Estructura de directorios de herramientas:

• Recolecciones USB: El directorio Tools debe estar junto al script:

  root@kitploit:~

  E:\Triage\CyberPipe\CyberPipe.ps1
  E:\Triage\CyberPipe\Tools\
  

• Recolecciones en red: El directorio Tools debe colocarse en la raíz del recurso compartido de red:

  root@kitploit:~

  \\Server\share\Tools\
  

Versión anterior (soporte KAPE):

Si anteriormente usó CyberPipe con KAPE (antes de v5), el flujo de trabajo antiguo sigue disponible en CyberPipe.v4.01.ps1.

Nota: CyberPipe se conocía anteriormente como CSIRT-Collect. El proyecto fue renombrado a partir de la versión 4.0.

Para más información visite Baker Street Forensics