Funções:

• 🐏 Capturar uma imagem de memória com MAGNET DumpIt (suporta x86, x64 e ARM64) ou MAGNET RAM Capture para sistemas legados.
• 💻 Coletar dados de triagem usando MAGNET Response CLI, com perfis selecionáveis ou opções personalizadas.
• 🔐 Detectar criptografia completa de disco usando MAGNET Encrypted Disk Detector.
• 🔑 Recuperar Chaves de Recuperação do BitLocker de todos os volumes criptografados.
• 💾 Armazenar dados coletados, logs e imagens de memória em um dispositivo USB ou em um local de rede definido.
• 📈 Monitoramento de progresso em tempo real durante a coleta.
• 📄 Relatórios abrangentes com dados voláteis pré-coleta e hashes de integridade.

Os perfis de coleta incluem:

• QuickTriage - Volátil + Arquivos do Sistema (sem RAM) - completa em ~2 minutos
• Volatile - Apenas dados voláteis (conexões de rede, registro, processos em execução)
• RAMOnly - Apenas dump de memória
• RAMPage - RAM + Arquivo de paginação
• RAMSystem - RAM + Arquivos Críticos do Sistema
• Default (Triagem Completa) - RAM + Arquivo de paginação + Volátil + Artefatos do Sistema

Pré-requisitos:

• MAGNET Response
• MAGNET Encrypted Disk Detector

Coletas em Rede:

CyberPipe suporta salvar a saída diretamente em um compartilhamento de rede usando o parâmetro -Net. Basta especificar o caminho UNC (por exemplo, \\server\share) e o script mapeará automaticamente a unidade de rede e realizará a coleta. Isso é ideal para fluxos de trabalho DFIR automatizados acionados por alertas de EDR ou SOC.

.\CyberPipe.ps1 -Net "\\server\share"

Novo na versão 5.3:

Correção Crítica do Código de Saída no PS 5.1

• Corrigido: Falsas falhas no Windows PowerShell 5.1 após coleta bem-sucedida do Magnet Response
• Causa raiz: Bug no PS 5.1 onde $process.ExitCode não era preenchido de forma confiável após WaitForExit()
• Solução: Validação dupla implementada:
  • Verificação do código de saída do processo com atualização do objeto
  • Verificação da coleta de arquivos (indicador de sucesso mais confiável)
  • Tratamento inteligente de erros: continua se os arquivos foram coletados com sucesso apesar do código de saída diferente de zero

Confiabilidade Melhorada

• Lógica de validação aprimorada verifica artefatos reais coletados em vez de depender apenas de códigos de saída
• Tratamento elegante de peculiaridades específicas da versão do PowerShell
• Mensagens de erro melhores distinguem entre falhas genuínas e problemas de relatório do PS 5.1

Exemplos de Uso:

• Executar triagem completa (perfil de coleta padrão) para unidade USB local: (RAM, Arquivo de paginação, Volátil, Arquivos do Sistema)

  root@kitploit:~

  .\CyberPipe.ps1 
  

• Executar captura de RAM e Arquivos do Sistema Operacional (triagem leve):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Executar captura apenas de memória:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMOnly
  

• Executar captura de RAM e Arquivo de paginação:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMPage
  

• Executar captura de RAM e Arquivos do Sistema Operacional (triagem leve):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile RAMSystem
  

• Executar captura apenas volátil:

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile Volatile
  

• Executar triagem rápida (coleta rápida):

  root@kitploit:~

  .\CyberPipe.ps1 -CollectionProfile QuickTriage
  

• Executar triagem completa com compressão:

Estrutura de Diretórios das Ferramentas:

• Coletas USB: O diretório Tools deve estar localizado junto ao script:

  root@kitploit:~

  E:\Triage\CyberPipe\CyberPipe.ps1
  E:\Triage\CyberPipe\Tools\
  

• Coletas em Rede: O diretório Tools deve ser colocado na raiz do compartilhamento de rede:

  root@kitploit:~

  \\Server\share\Tools\
  

Versão anterior (suporte KAPE):

Se você usou o CyberPipe anteriormente com KAPE (antes da v5), o fluxo de trabalho antigo permanece disponível em CyberPipe.v4.01.ps1.

Nota: CyberPipe era anteriormente conhecido como CSIRT-Collect. O projeto foi renomeado a partir da versão 4.0.

Para mais informações visite Baker Street Forensics