UnderlayCopy

UnderlayCopy は、低レベルNTFS取得と、保護・ロックされたシステム成果物（例: SAM、SYSTEM、NTDS.dit、レジストリハイブ、その他Windows実行中は通常アクセスできないファイル）のダンプを行うためのPowerShellユーティリティです。これをVSSや標準ファイルI/Oを使わずに実現するため、2つの相補的なモードに対応しています:

• MFTモード: $MFTレコードを解析し、生のボリュームセクタを読み取ってファイルデータを再構築・コピーします。
• メタデータモード: ファイルシステムメタデータ（fsutil）を使用してファイルをクラスタにマッピングし、生のセクタをコピーします。

目的: 研究、レッドチーム演習、DFIR取得用。 対象外: 不正アクセスや悪意のある使用。

特徴

• ローカルNTFSボリュームに対応。
• VSSや標準ファイルI/O APIに依存せず動作。

使用方法

前提条件

• 管理者権限

例

   .\UnderlayCopy.ps1
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\System32\config\SAM -DestinationFile C:\Windows\Temp\sam.dmp
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp
   Underlay-Copy -Mode Metadata -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp

監査と検出

• 生ボリューム読み取り（RAWアクセスで \.\PhysicalDriveN や \.\C: に対して開かれたハンドル）を監視
• 機密性の高いシステムファイル（例: C:\Windows\System32\config\SAM、C:\Windows\System32\config\SYSTEM、C:\Windows\NTDS\NTDS.dit）への直接アクセスを監視し、これらのファイルに対する予期しない読み取りやコピーを警告
• $MFTを読み取るプロセスや、物理ボリュームに対する大規模なバッファリングなし読み取りを実行するプロセスを警告
• fsutilの異常な使用や、低レベルWin32 API（ボリュームパスまたは物理パスを使用したCreateFile）への不審な呼び出しを追跡