Herramienta de extracción de VMK de BitLocker

Este script de Python te ayuda a extraer posibles Claves Maestras de Volumen (VMK) de BitLocker a partir de archivos de volcado de memoria, como los generados por una Pantalla Azul de la Muerte (BSOD). Es una utilidad de línea de comandos diseñada para ayudar en investigaciones forenses donde está involucrado el cifrado de BitLocker. Aunque está pensado para volcados de BSOD, también funcionará en imágenes de disco, espacio no asignado exportado, etc.

Demo de uso y montaje de unidad con clave: https://www.youtube.com/watch?v=PFWVIZsGOaI&feature=youtu.be

Caso de uso

Diseñé esta herramienta para desbloquear bóvedas de OneDrive bloqueadas. Si un equipo que estás examinando se bloqueó cuando el volumen estaba abierto, esto te permitirá examinar los datos de la bóveda del sospechoso.

Cómo funciona

El script busca en los datos binarios de un archivo de volcado de memoria patrones de bytes específicos que indican la presencia de un encabezado de Clave Maestra de Volumen de BitLocker. Una vez identificado, extrae los siguientes 64 caracteres hexadecimales, que representan el posible VMK. También incluye un paso de filtrado para eliminar falsos positivos comunes.

Características

• Análisis de volcado de memoria: Procesa archivos MEMORY.DMP para identificar posibles VMK de BitLocker.
• Coincidencia de patrones: Utiliza expresiones regulares para localizar la firma única del encabezado del VMK.
• Filtro de falsos positivos: Incluye un filtro básico para reducir resultados irrelevantes.
• Interfaz simple de línea de comandos: Fácil de usar proporcionando el archivo de volcado de memoria como argumento.

Requisitos

• Python 3.x

Uso

1. Guardar el script: Guarda el código Python proporcionado como bitlocker_carve.py (o cualquier otro nombre de archivo .py).

2. Obtener un volcado de memoria: Asegúrate de tener un archivo MEMORY.DMP (o cualquier otro archivo de volcado de memoria) que desees analizar.

3. Ejecutar el script: Abre una terminal o símbolo del sistema, navega al directorio donde guardaste el script y el volcado de memoria, y ejecuta el script con el archivo de volcado como argumento:

   root@kitploit:~

   python bitlocker_carve.py MEMORY.DMP
   

   Reemplaza MEMORY.DMP con la ruta real a tu archivo de volcado de memoria si no está en el mismo directorio.

Ejemplo de salida

[+] Encontrado MEMORY.DMP.
[+] Encontrada 1 posible clave VMK de BitLocker:
    1: a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2
Presione Enter para salir...

Notas importantes

• Esta herramienta identifica posibles VMK de BitLocker. Puede ser necesario un análisis adicional para confirmar su validez.
• La efectividad de esta herramienta depende de la calidad y completitud del volcado de memoria.
• Siempre maneja los volcados de memoria y las claves extraídas con las medidas de seguridad adecuadas.

Agradecimientos

Un enorme agradecimiento a WithSecureLabs/bitlocker-spi-toolkit por su trabajo fundamental, que inspiró significativamente este script y lo hizo posible.