Outil de carottage de VMK BitLocker

Ce script Python vous aide à extraire les clés maîtresses de volume (VMK) BitLocker potentielles à partir de fichiers de vidage mémoire, comme ceux générés par un écran bleu de la mort (BSOD). C'est un utilitaire en ligne de commande conçu pour assister les enquêtes médico-légales impliquant le chiffrement BitLocker. Bien que destiné aux vidages BSOD, il fonctionne également sur les images disque, l'espace disque non alloué exporté,

Démonstration d'utilisation et montage du lecteur avec la clé : https://www.youtube.com/watch?v=PFWVIZsGOaI&feature=youtu.be

Cas d'utilisation

J'ai conçu cet outil pour déverrouiller les coffres onedrive verrouillés. Si un ordinateur que vous examinez a planté alors que le volume était ouvert, cela vous permettra d'examiner les données du coffre du suspect.

Comment ça fonctionne

Le script fonctionne en recherchant dans les données binaires d'un fichier de vidage mémoire des motifs d'octets spécifiques qui indiquent la présence d'un en-tête de clé maîtresse de volume BitLocker. Une fois identifié, il extrait les 64 caractères hexadécimaux suivants, qui représentent la VMK potentielle. Il inclut également une étape de filtrage pour éliminer les faux positifs courants.

Fonctionnalités

• Analyse de vidage mémoire : Traite les fichiers MEMORY.DMP pour identifier les VMK BitLocker potentielles.
• Correspondance de motifs : Utilise des expressions régulières pour localiser la signature unique de l'en-tête VMK.