Collect-MemoryDump

Collect-MemoryDump - DFIR के लिए विंडोज मेमोरी स्नैपशॉट का स्वचालित निर्माण

Collect-MemoryDump.ps1 एक PowerShell स्क्रिप्ट है जिसका उपयोग लाइव विंडोज सिस्टम (पेजफ़ाइल संग्रह सहित) से फोरेंसिक रूप से सुदृढ़ तरीके से मेमोरी स्नैपशॉट एकत्र करने के लिए किया जाता है।

विशेषताएं:

• ARM64 समर्थन (MAGNET DumpIt for Windows और MAGNET Response)
• मेमोरी अधिग्रहण शुरू करने से पहले होस्टनाम और भौतिक मेमोरी आकार की जाँच करता है
• जाँचता है कि मेमोरी डंप फ़ाइल को सहेजने के लिए आपके पास पर्याप्त खाली डिस्क स्थान है या नहीं
• MAGNET DumpIt for Windows के साथ Microsoft Crash Dump एकत्र करता है
• MAGNET DumpIt, MAGNET RAM Capture, Belkasoft Live RAM Capturer और WinPMEM के साथ रॉ फिजिकल मेमोरी डंप एकत्र करता है
• MAGNET Response के साथ पेजफ़ाइल संग्रह → रिफ्लेक्टिव PE इंजेक्शन तकनीकों से निपटने पर बहुत उपयोगी
• MAGNET Response के साथ ट्राइएज संग्रह (वैकल्पिक)
• MAGNET Response के साथ चल रही प्रक्रिया/मॉड्यूल जानकारी एकत्र करता है
• MAGNET Encrypted Disk Detector (EDD) के साथ एन्क्रिप्टेड वॉल्यूम की जाँच करता है
• BitLocker रिकवरी कुंजी एकत्र करता है
• स्थापित एंडपॉइंट सुरक्षा उपकरणों (एंटीवायरस और EDR) की जाँच करता है
• आपके DFIR कार्यप्रवाह को समृद्ध करने के लिए लक्ष्य होस्ट से सभी आवश्यक जानकारी सूचीबद्ध करता है
• पासवर्ड-संरक्षित सुरक्षित संग्रह कंटेनर बनाता है (PW: IncidentResponse)

[!TIP] MemProcFS-Analyzer के साथ विंडोज मेमोरी डंप और संबंधित पेजफ़ाइलों का स्वचालित फोरेंसिक विश्लेषण

पहला सार्वजनिक रिलीज़

MAGNET Talks - फ्रैंकफर्ट, जर्मनी (27 जुलाई, 2022)
प्रस्तुति शीर्षक: आधुनिक डिजिटल फोरेंसिक और घटना प्रतिक्रिया तकनीकें
https://www.magnetforensics.com/

डाउनलोड

Collect-MemoryDump का नवीनतम संस्करण रिलीज़ अनुभाग से डाउनलोड करें।

[!NOTE] Collect-MemoryDump में डिफ़ॉल्ट रूप से सभी बाहरी उपकरण शामिल नहीं हैं।

आपको निम्नलिखित निर्भरताएँ डाउनलोड करनी होंगी:

• Belkasoft Live RAM Capturer
• MAGNET DumpIt for Windows
• MAGNET Encrypted Disk Detector
• MAGNET RAM Capture
• MAGNET Response

आवश्यक फ़ाइलों को निम्नलिखित फ़ाइल स्थानों पर कॉपी करें:

Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys

MAGNET DumpIt for Windows
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe

MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe

MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe

MAGNET Response
$SCRIPT_DIR\Tools\MagnetRESPONSE\MagnetRESPONSE.exe

देखें: विकी: How-to-add-or-update-dependencies

उपयोग

.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile] [--Triage]

उदाहरण 1 - Microsoft Crash Dump और Pagefile एकत्र करें

.\Collect-MemoryDump.ps1 -Comae --Pagefile  

उदाहरण 2 - रॉ फिजिकल मेमोरी डंप और पेजफ़ाइल एकत्र करें

.\Collect-MemoryDump.ps1 -DumpIt --Pagefile

उदाहरण 3 - रॉ फिजिकल मेमोरी डंप एकत्र करें

.\Collect-MemoryDump.ps1 -WinPMEM  

उदाहरण 4 - Microsoft Crash Dump, पेजफ़ाइल और फोरेंसिक आर्टिफैक्ट एकत्र करें

.\Collect-MemoryDump.ps1 -Comae --Pagefile --Triage

[!IMPORTANT]
MAGNET Encrypted Disk Detector और MAGNET Response के लिए लक्ष्य सिस्टम पर Microsoft .NET Framework 4 (या बाद का संस्करण) स्थापित होना चाहिए। पेजफ़ाइल संग्रह को छोड़ दें या Microsoft डाउनलोड साइट से Microsoft .NET Framework 4 (स्टैंडअलोन इंस्टॉलर) डाउनलोड और इंस्टॉल करें:
https://www.microsoft.com/en-us/download/details.aspx?id=17718

[!IMPORTANT]
MAGNET DumpIt for Windows विंडोज 7 लक्ष्य सिस्टम का समर्थन नहीं करता है। कृपया विंडोज 7 से निपटने पर अन्य मेमोरी अधिग्रहण उपकरणों में से किसी एक का उपयोग करें।

चित्र 1: सहायता संदेश

चित्र 2: उपलब्ध स्थान की जाँच करें

चित्र 3: MAGNET DumpIt for Windows के साथ विंडोज मेमोरी स्नैपशॉट का स्वचालित निर्माण (पेजफ़ाइल सहित)

चित्र 4: MAGNET DumpIt for Windows के साथ विंडोज मेमोरी स्नैपशॉट का स्वचालित निर्माण (पेजफ़ाइल सहित)

चित्र 5: WinPMEM के साथ विंडोज मेमोरी स्नैपशॉट का स्वचालित निर्माण (पेजफ़ाइल सहित)

चित्र 6: Belkasoft Live RAM Capturer के साथ विंडोज मेमोरी स्नैपशॉट का स्वचालित निर्माण (पेजफ़ाइल सहित)

चित्र 7: MAGNET Response के साथ पेजफ़ाइल संग्रह

चित्र 8: MAGNET Response के साथ चल रही प्रक्रिया/मॉड्यूल जानकारी एकत्र करना

चित्र 9: संदेश बॉक्स

चित्र 10: MAGNET RAM Capture