Strumento di Carving di VMK BitLocker

Questo script Python ti aiuta a estrarre potenziali Chiavi Master del Volume (VMK) di BitLocker da file di dump della memoria, come quelli generati da una schermata blu della morte (BSOD). È un'utilità da riga di comando progettata per assistere nelle indagini forensi in cui è coinvolta la crittografia BitLocker. Sebbene pensato per dump BSOD, funziona anche su immagini disco, spazio non allocato esportato,

Dimostrazione dell'uso e del montaggio del drive con la chiave: https://www.youtube.com/watch?v=PFWVIZsGOaI&feature=youtu.be

Caso d'uso

Ho progettato questo strumento per sbloccare vault OneDrive bloccati: se un computer che stai esaminando si è bloccato quando il volume era aperto, questo ti permetterà di esaminare i dati del vault del sospetto.

Come funziona

Lo script funziona cercando nei dati binari di un file di dump della memoria specifici pattern di byte che indicano la presenza di un'intestazione di Chiave Master del Volume BitLocker. Una volta identificata, estrae i successivi 64 caratteri esadecimali, che rappresentano la potenziale VMK. Include anche un passaggio di filtraggio per rimuovere falsi positivi comuni.

Caratteristiche

• Analisi del dump della memoria: Elabora file MEMORY.DMP per identificare potenziali VMK BitLocker.
• Pattern Matching: Utilizza espressioni regolari per individuare la firma unica dell'intestazione VMK.
• Filtraggio falsi positivi: Include un filtro di base per ridurre i risultati irrilevanti.
• Interfaccia semplice a riga di comando: Facile da usare fornendo il file di dump della memoria come argomento.

Requisiti

• Python 3.x

Utilizzo

1. Salva lo script: Salva il codice Python fornito come bitlocker_carve.py (o qualsiasi altro nome di file .py).

2. Ottieni un dump della memoria: Assicurati di avere un file MEMORY.DMP (o qualsiasi altro file di dump della memoria) che desideri analizzare.

3. Esegui lo script: Apri un terminale o un prompt dei comandi, naviga nella directory in cui hai salvato lo script e il dump della memoria, ed esegui lo script con il file di dump della memoria come argomento:

   root@kitploit:~

   python bitlocker_carve.py MEMORY.DMP
   

   Sostituisci MEMORY.DMP con il percorso effettivo del tuo file di dump della memoria se non si trova nella stessa directory.

Esempio di output

[+] Trovato MEMORY.DMP.
[+] Trovate 1 potenziale(i) chiave(i) VMK BitLocker:
    1: a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2
Premere Invio per uscire...

Note importanti

• Questo strumento identifica potenziali VMK BitLocker. Potrebbe essere necessaria un'ulteriore analisi per confermarne la validità.
• L'efficacia di questo strumento dipende dalla qualità e completezza del dump della memoria.
• Gestisci sempre i dump della memoria e le chiavi estratte con opportune misure di sicurezza.

Riconoscimenti

Un enorme ringraziamento a WithSecureLabs/bitlocker-spi-toolkit per il loro lavoro fondamentale, che ha ispirato e reso possibile questo script.