BareMetal RAM Dumper

Un outil x86 bare-metal simple conçu pour démarrer à partir d'un disque/USB et vider la RAM du système directement sur le support de démarrage. Il utilise les interruptions BIOS pour démarrer et effectuer des opérations disque, et entre en mode irréel (unreal mode) pour accéder à la mémoire au-delà de la barrière de 1 Mo.

Contexte : Attaques par démarrage à froid ❄️

Cet outil a été initialement développé et testé avec succès pour expérimenter les attaques par démarrage à froid. En gelant la RAM d'un ordinateur portable (jusqu'à -60°C) et en redémarrant rapidement à partir d'une clé USB contenant cet outil, il est possible de vider le contenu gelé de la mémoire sur le disque avant que les données ne se dégradent, permettant ainsi l'extraction d'informations sensibles comme les clés de chiffrement.

Fonctionnalités

• Chargeur de démarrage personnalisé : Démarre directement depuis le BIOS (Legacy CSM). Aucun système d'exploitation requis.
• Mode irréel : Bascule temporairement en mode irréel pour accéder et lire les adresses mémoire physiques 32 bits.
• Analyse de la carte mémoire : Utilise l'interruption BIOS INT 0x15 E820 pour détecter les régions RAM valides et éviter de vider la mémoire réservée ou les entrées-sorties mappées en mémoire.
• Écriture disque directe : Utilise l'interruption BIOS INT 0x13 AH=0x43 (écriture étendue) pour écrire le contenu de la mémoire directement sur le disque de démarrage à partir de LBA 64.

Comment ça fonctionne

1. stage1.asm est un secteur de démarrage de 512 octets. Il initialise les registres de segment, configure la pile et utilise la lecture étendue (INT 0x13 AH=0x42) pour charger stage2 depuis LBA 1 en mémoire à 0x8000. Ensuite, il saute vers stage2.
2. stage2.asm exécute la logique principale :
   • Interroge le BIOS pour la prise en charge EDD (Enhanced Disk Drive).
   • Obtient la carte mémoire via INT 0x15 E820.
   • Calcule la taille maximale de la RAM.
   • Parcourt la RAM par blocs de 32 Ko.
   • Pour chaque bloc, il bascule en mode irréel pour copier les données de la mémoire haute vers un tampon en mémoire basse (0x90000).
   • Écrit le bloc de 32 Ko sur le disque en utilisant l'écriture étendue, à partir de LBA 64.
   • Affiche un pourcentage de progression à l'écran.

Avertissement ⚠️

Cet outil écrit des données brutes directement sur le disque de démarrage à partir du secteur 64 ! Si vous écrivez ceci sur une clé USB contenant des données importantes, la vidange de la RAM écrasera tout ce qui se trouve à partir de LBA 64. Utilisez une clé USB dédiée et vierge pour cet usage.

Construction

Vous aurez besoin d'installer NASM pour compiler ce projet.

Sous Windows, exécutez le script de construction fourni :

build.bat

Sous Linux, vous pouvez exécuter :

nasm -f bin stage1.asm -o stage1.bin
nasm -f bin stage2.asm -o stage2.bin
cat stage1.bin stage2.bin > boot.bin

Utilisation

1. Construisez le projet pour générer boot.bin.
2. Écrivez boot.bin sur une clé USB (par exemple en utilisant dd sous Linux/macOS, ou Rufus / Win32DiskImager sous Windows).
   • Remarque : Assurez-vous que votre clé USB dispose de suffisamment d'espace pour contenir la RAM de votre système.
   • Exemple (Linux) : sudo dd if=boot.bin of=/dev/sdX bs=512
3. Démarrez votre PC cible à partir de la clé USB (assurez-vous que le démarrage Legacy BIOS / CSM est activé).
4. Attendez la fin de la vidange (elle affichera 100%).