UnderlayCopy

UnderlayCopy est un utilitaire PowerShell pour l'acquisition NTFS de bas niveau et l'extraction d'artefacts système protégés et verrouillés (par exemple : SAM, SYSTEM, NTDS.dit, les ruches du registre et autres fichiers normalement inaccessibles pendant que Windows est en cours d'exécution). Il prend en charge deux modes complémentaires pour y parvenir sans utiliser VSS ni les E/S de fichiers standard :

• Mode MFT : analyse les enregistrements $MFT et reconstitue/copie les données des fichiers en lisant les secteurs bruts du volume.
• Mode Métadonnées : utilise les métadonnées du système de fichiers (fsutil) pour mapper les fichiers aux clusters et copier les secteurs bruts.

Objectif : recherche, exercices red-team et acquisition DFIR. À ne pas utiliser pour : accès non autorisé ou utilisation malveillante.

Fonctionnalités

• Prend en charge les volumes NTFS locaux.
• Fonctionne sans dépendre de VSS ni des API d'E/S de fichiers standard.

Utilisation

Prérequis

• Privilèges administrateur

Exemple

   .\UnderlayCopy.ps1
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\System32\config\SAM -DestinationFile C:\Windows\Temp\sam.dmp
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp
   Underlay-Copy -Mode Metadata -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp