BareMetal RAM Dumper

Una herramienta bare-metal simple para x86 diseñada para arrancar desde un disco/USB y volcar la RAM del sistema directamente al medio de arranque. Se basa en interrupciones de BIOS para arrancar y realizar operaciones de disco, y entra en modo unreal para acceder a memoria por encima de la barrera de 1MB.

Antecedentes: Ataques de arranque en frío ❄️

Esta herramienta fue originalmente desarrollada y probada con éxito para experimentar con Ataques de arranque en frío. Al congelar la RAM de una computadora portátil (hasta -60°C) y reiniciar rápidamente desde una unidad USB que contiene esta herramienta, es posible volcar el contenido de la memoria congelada al disco antes de que los datos se degraden, lo que permite extraer información sensible como claves de cifrado.

Características

• Cargador de arranque personalizado: Arranca directamente desde la BIOS (CSM heredado). No requiere SO.
• Modo Unreal: Cambia temporalmente al modo unreal para acceder y leer direcciones de memoria física de 32 bits.
• Análisis de mapa de memoria: Utiliza la BIOS INT 0x15 E820 para detectar regiones de RAM válidas y evitar volcar memoria reservada o E/S mapeada en memoria.
• Escritura directa en disco: Usa la BIOS INT 0x13 AH=0x43 (Escritura extendida) para escribir el contenido de la memoria directamente de vuelta a la unidad de arranque comenzando en LBA 64.

Cómo funciona

1. stage1.asm es un sector de arranque de 512 bytes. Inicializa los registros de segmento, configura la pila y usa la Lectura Extendida (INT 0x13 AH=0x42) para cargar stage2 desde LBA 1 a la memoria en 0x8000. Luego salta a stage2.
2. stage2.asm realiza la lógica principal:
   • Consulta a la BIOS por soporte EDD (Unidad de Disco Mejorada).
   • Obtiene el mapa de memoria usando INT 0x15 E820.
   • Calcula el tamaño máximo de RAM.
   • Itera sobre la RAM en fragmentos de 32KB.
   • Para cada fragmento, cambia al modo unreal para copiar datos de la memoria alta a un búfer de memoria baja (0x90000).
   • Escribe el fragmento de 32KB al disco usando Escritura Extendida, comenzando en LBA 64.
   • Muestra un porcentaje de progreso en la pantalla.

Advertencia ⚠️

¡Esta herramienta escribe datos brutos directamente en la unidad de arranque comenzando en el Sector 64! Si escribe esto en una unidad USB que contiene datos importantes, el volcado de RAM sobrescribirá todo lo que esté presente en LBA 64 y más allá. Use una unidad USB flash dedicada y en blanco para este propósito.

Compilación

Necesitará tener instalado NASM para compilar este proyecto.

En Windows, ejecute el script de compilación proporcionado:

build.bat

En Linux, puede ejecutar:

nasm -f bin stage1.asm -o stage1.bin
nasm -f bin stage2.asm -o stage2.bin
cat stage1.bin stage2.bin > boot.bin

Uso

1. Compile el proyecto para generar boot.bin.
2. Escriba boot.bin en una unidad USB (por ejemplo, usando dd en Linux/macOS, o Rufus / Win32DiskImager en Windows).
   • Nota: Asegúrese de que su unidad USB tenga suficiente espacio para contener la RAM de su sistema.
   • Ejemplo (Linux): sudo dd if=boot.bin of=/dev/sdX bs=512
3. Arranque su PC objetivo desde la unidad USB (asegúrese de que el arranque Legacy BIOS / CSM esté habilitado).
4. Espere a que el volcado se complete (mostrará 100%).