lethal-forensics/collect-memorydumpScript PowerShell automatisé pour l'acquisition de mémoire Windows médico-légale, incluant les vidages sur incident/bruts, la collecte du fichier d'échange, les artefacts de triage et la détection de disque chiffré.
Collect-MemoryDump - Création automatisée d'instantanés de mémoire Windows pour le DFIR
Collect-MemoryDump.ps1 est un script PowerShell utilisé pour collecter un instantané mémoire d'un système Windows en fonctionnement (y compris la collecte du fichier d'échange) de manière forensiquement saine.
Fonctionnalités :
[!TIP] Analyse forensique automatisée des vidages mémoire Windows et des fichiers d'échange correspondants avec MemProcFS-Analyzer
MAGNET Talks - Francfort, Allemagne (27 juillet 2022)
Titre de la présentation : Techniques modernes de criminalistique numérique et de réponse aux incidents
https://www.magnetforensics.com/
Téléchargez la dernière version de Collect-MemoryDump dans la section Releases.
[!NOTE] Collect-MemoryDump n'inclut pas tous les outils externes par défaut.
Vous devez télécharger les dépendances suivantes :
Copiez les fichiers requis vers les emplacements suivants :
Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys
MAGNET DumpIt pour Windows
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe
MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe
MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe
MAGNET Response
$SCRIPT_DIR\Tools\MagnetRESPONSE\MagnetRESPONSE.exe
Consultez : Wiki: How-to-add-or-update-dependencies
.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile] [--Triage]
Exemple 1 - Collecter un vidage mémoire de type Microsoft Crash Dump et le fichier d'échange
.\Collect-MemoryDump.ps1 -Comae --Pagefile
Exemple 2 - Collecter un vidage mémoire physique brut et le fichier d'échange
.\Collect-MemoryDump.ps1 -DumpIt --Pagefile
Exemple 3 - Collecter un vidage mémoire physique brut
.\Collect-MemoryDump.ps1 -WinPMEM
Exemple 4 - Collecter un vidage mémoire de type Microsoft Crash Dump, le fichier d'échange et les artefacts forensiques
.\Collect-MemoryDump.ps1 -Comae --Pagefile --Triage
[!IMPORTANT] Microsoft .NET Framework 4 (ou version ultérieure) doit être installé sur le système cible pour MAGNET Encrypted Disk Detector et MAGNET Response. Ignorez simplement la collecte du fichier d'échange ou téléchargez et installez Microsoft .NET Framework 4 (installateur autonome) depuis le site de téléchargement Microsoft : https://www.microsoft.com/en-us/download/details.aspx?id=17718
[!IMPORTANT] MAGNET DumpIt pour Windows ne prend PAS en charge les systèmes cibles Windows 7. Veuillez utiliser un autre outil d'acquisition mémoire lorsque vous travaillez avec Windows 7.
Fig 1: Message d'aide
Fig 2: Vérification de l'espace disponible
Fig 3: Création automatisée d'un instantané mémoire Windows avec MAGNET DumpIt pour Windows (incl. fichier d'échange)
Fig 4: Création automatisée d'un instantané mémoire Windows avec MAGNET DumpIt pour Windows (incl. fichier d'échange)
Fig 5: Création automatisée d'un instantané mémoire Windows avec WinPMEM (incl. fichier d'échange)
Fig 6: Création automatisée d'un instantané mémoire Windows avec Belkasoft Live RAM Capturer (incl. fichier d'échange)
Fig 7: Collecte du fichier d'échange avec MAGNET Response
Fig 8: Collecte des informations sur les processus/modules en cours d'exécution avec MAGNET Response