UnderlayCopy

UnderlayCopy एक PowerShell उपयोगिता है जो निम्न-स्तरीय NTFS अधिग्रहण और लॉक किए गए, संरक्षित सिस्टम आर्टिफैक्ट्स (उदाहरण के लिए: SAM, SYSTEM, NTDS.dit, रजिस्ट्री हाइव्स, और अन्य फ़ाइलें जो सामान्य रूप से Windows चलने के दौरान अभिगम्य नहीं होती) को डंप करने के लिए है। यह VSS या मानक फ़ाइल I/O का उपयोग किए बिना इसे प्राप्त करने के लिए दो पूरक मोड का समर्थन करता है:

• MFT मोड: $MFT रिकॉर्ड्स को पार्स करता है और कच्चे वॉल्यूम सेक्टरों को पढ़कर फ़ाइल डेटा का पुनर्निर्माण/प्रतिलिपि करता है।
• मेटाडेटा मोड: फ़ाइलों को क्लस्टरों से मैप करने और कच्चे सेक्टरों की प्रतिलिपि करने के लिए फ़ाइलसिस्टम मेटाडेटा (fsutil) का उपयोग करता है।

उद्देश्य: शोध, रेड-टीम अभ्यास, और DFIR अधिग्रहण। इसके लिए नहीं: अनधिकृत पहुँच या दुर्भावनापूर्ण उपयोग।

विशेषताएँ

• स्थानीय NTFS वॉल्यूम्स का समर्थन करता है।
• VSS या मानक फ़ाइल I/O APIs पर निर्भर किए बिना कार्य करता है।

उपयोग

पूर्वापेक्षाएँ

• व्यवस्थापक (Administrator) विशेषाधिकार

उदाहरण

   .\UnderlayCopy.ps1
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\System32\config\SAM -DestinationFile C:\Windows\Temp\sam.dmp
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp
   Underlay-Copy -Mode Metadata -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp

ऑडिटिंग और डिटेक्शन

• कच्चे वॉल्यूम रीड्स के लिए निगरानी करें (RAW एक्सेस के साथ \.\PhysicalDriveN या \.\C: के लिए खोले गए हैंडल)।
• संवेदनशील सिस्टम फ़ाइलों (उदाहरण के लिए: C:\Windows\System32\config\SAM, C:\Windows\System32\config\SYSTEM, C:\Windows\NTDS\NTDS.dit) तक सीधे पहुँच की निगरानी करें और इन फ़ाइलों की अप्रत्याशित रीड्स या प्रतिलिपियों पर अलर्ट करें।
• $MFT को पढ़ने वाली या भौतिक वॉल्यूम्स पर बड़ी अनबफर्ड रीड्स करने वाली प्रक्रियाओं पर अलर्ट करें।
• fsutil के असामान्य उपयोग और निम्न-स्तरीय Win32 APIs (वॉल्यूम या भौतिक पथ के साथ CreateFile) के संदिग्ध कॉल्स को ट्रैक करें।