BitLocker VMK カービングツール

このPythonスクリプトは、ブルースクリーンオブデス（BSOD）によって生成されたメモリダンプファイルなどから、潜在的なBitLockerボリュームマスターキー（VMK）を抽出するのに役立ちます。BitLocker暗号化が関与するフォレンジック調査を支援するために設計されたコマンドラインユーティリティです。BSODダンプを対象としていますが、ディスクイメージやエクスポートされた未割り当てディスク領域でも動作します。

デモ動画（キーを使用したドライブのマウントと使用法）：https://www.youtube.com/watch?v=PFWVIZsGOaI&feature=youtu.be

ユースケース

このツールは、ロックされたOneDriveボールトをアンロックするために設計しました。調査中のコンピュータがボリュームを開いた状態でクラッシュした場合、このツールを使用して容疑者のボールトデータを調査できます。

動作の仕組み

このスクリプトは、メモリダンプファイルのバイナリデータ内で、BitLockerボリュームマスターキーヘッダーの存在を示す特定のバイトパターンを検索します。識別されると、その後の64文字の16進文字（潜在的なVMKを表す）を抽出します。また、一般的な偽陽性を除去するためのフィルタリング手順も含まれています。

特徴

• メモリダンプ分析：MEMORY.DMPファイルを処理し、潜在的なBitLocker VMKを識別します。
• パターンマッチング：正規表現を使用して固有のVMKヘッダーシグネチャを特定します。
• 偽陽性フィルタリング：無関係な結果を減らすための基本フィルタを含みます。
• シンプルなコマンドラインインターフェース：メモリダンプファイルを引数として指定するだけで簡単に使用できます。

必要条件

• Python 3.x

使用方法

1. スクリプトの保存：提供されたPythonコードをbitlocker_carve.py（または任意の.pyファイル名）として保存します。
2. メモリダンプの取得：分析したいMEMORY.DMPファイル（またはその他のメモリダンプファイル）があることを確認してください。
3. スクリプトの実行：ターミナルまたはコマンドプロンプトを開き、スクリプトとメモリダンプを保存したディレクトリに移動し、メモリダンプファイルを引数としてスクリプトを実行します：

python bitlocker_carve.py MEMORY.DMP

MEMORY.DMPを、同じディレクトリにない場合は実際のメモリダンプファイルへのパスに置き換えてください。

出力例

[+] Found MEMORY.DMP.
[+] Found 1 potential BitLocker VMK key(s):
    1: a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2
Press Enter to exit...

重要な注意事項

• このツールは潜在的なBitLocker VMKを識別します。妥当性を確認するにはさらなる分析が必要になる場合があります。
• このツールの有効性は、メモリダンプの品質と完全性に依存します。
• メモリダンプと抽出されたキーは常に適切なセキュリティ対策を講じて取り扱ってください。

謝辞

WithSecureLabs/bitlocker-spi-toolkitの基礎的な研究に多大な感謝を捧げます。このスクリプトはその研究から大きな影響を受け、可能になりました。