BareMetal RAM Dumper

Uma ferramenta x86 bare-metal simples projetada para inicializar a partir de um disco/USB e despejar a RAM do sistema diretamente no meio de inicialização. Ela depende de interrupções da BIOS para inicializar e realizar operações de disco, e entra em modo unreal para acessar memória acima da barreira de 1MB.

Contexto: Ataques de Boot a Frio ❄️

Esta ferramenta foi originalmente desenvolvida e testada com sucesso para experimentar Ataques de Boot a Frio. Ao congelar a RAM de um laptop (até -60°C) e reiniciar rapidamente a partir de um drive USB contendo esta ferramenta, é possível despejar o conteúdo da memória congelada no disco antes que os dados decaiam, permitindo a extração de informações sensíveis como chaves de criptografia.

Características

• Bootloader Personalizado: Inicializa diretamente da BIOS (CSM Legado). Nenhum SO necessário.
• Modo Unreal: Alterna temporariamente para modo unreal para acessar e ler endereços de memória física de 32 bits.
• Análise do Mapa de Memória: Usa a BIOS INT 0x15 E820 para detectar regiões de RAM válidas e evitar despejar memória reservada ou I/O mapeado em memória.
• Escrita Direta em Disco: Usa a BIOS INT 0x13 AH=0x43 (Escrita Estendida) para escrever o conteúdo da memória diretamente de volta na unidade de inicialização a partir de LBA 64.

Como Funciona

1. stage1.asm é um setor de boot de 512 bytes. Ele inicializa registradores de segmento, configura a pilha e usa Leitura Estendida (INT 0x13 AH=0x42) para carregar stage2 de LBA 1 para a memória em 0x8000. Em seguida, salta para stage2.
2. stage2.asm executa a lógica principal:
   • Consulta a BIOS pelo suporte a EDD (Enhanced Disk Drive).
   • Obtém o mapa de memória usando INT 0x15 E820.
   • Calcula o tamanho máximo da RAM.
   • Percorre a RAM em blocos de 32KB.
   • Para cada bloco, alterna para modo unreal para copiar dados da memória alta para um buffer de memória baixa (0x90000).
   • Escreve o bloco de 32KB no disco usando Escrita Estendida, começando em LBA 64.
   • Exibe uma porcentagem de progresso na tela.

Aviso ⚠️

Esta ferramenta escreve dados brutos diretamente na unidade de inicialização a partir do Setor 64! Se você gravar isso em um drive USB contendo dados importantes, o dump de RAM sobrescreverá tudo o que estiver presente em LBA 64 e além. Use um pen drive USB dedicado e em branco para esta finalidade.

Compilação

Você precisará do NASM instalado para compilar este projeto.

No Windows, execute o script de compilação fornecido:

build.bat

No Linux, você pode executar:

nasm -f bin stage1.asm -o stage1.bin
nasm -f bin stage2.asm -o stage2.bin
cat stage1.bin stage2.bin > boot.bin

Uso

1. Compile o projeto para gerar boot.bin.
2. Grave boot.bin em um drive USB (por exemplo, usando dd no Linux/macOS, ou Rufus / Win32DiskImager no Windows).
   • Nota: Certifique-se de que seu drive USB tenha espaço suficiente para armazenar a RAM do seu sistema.
   • Exemplo (Linux): sudo dd if=boot.bin of=/dev/sdX bs=512
3. Inicialize o PC alvo a partir do drive USB (certifique-se de que o boot Legacy BIOS / CSM esteja ativado).
4. Aguarde a conclusão do dump (ele exibirá 100%).