Collect-MemoryDump

Collect-MemoryDump — Автоматическое создание снимков памяти Windows для DFIR

Collect-MemoryDump.ps1 — это скрипт PowerShell, предназначенный для создания снимка памяти с работающей системы Windows (включая сбор файла подкачки) с соблюдением криминалистической корректности.

Особенности:

• Поддержка ARM64 (MAGNET DumpIt for Windows и MAGNET Response)
• Проверка имени хоста и объёма физической памяти перед началом сбора
• Проверка достаточного свободного места на диске для сохранения дампа памяти
• Сбор аварийного дампа Microsoft с помощью MAGNET DumpIt for Windows
• Сбор сырого физического дампа памяти с помощью MAGNET DumpIt, MAGNET RAM Capture, Belkasoft Live RAM Capturer и WinPMEM
• Сбор файла подкачки с помощью MAGNET Response → очень полезно при работе с техниками рефлексивной инъекции PE
• Сбор триажных данных с помощью MAGNET Response (опционально)
• Сбор информации о запущенных процессах/модулях с помощью MAGNET Response
• Проверка на зашифрованные тома с помощью MAGNET Encrypted Disk Detector (EDD)
• Сбор ключа восстановления BitLocker
• Проверка установленных средств защиты конечных точек (антивирус и EDR)
• Сбор всей необходимой информации с целевого хоста для обогащения вашего рабочего процесса DFIR
• Создание защищённого паролем архива (пароль: IncidentResponse)

[!TIP] Автоматизированный криминалистический анализ дампов памяти Windows и соответствующих файлов подкачки с помощью MemProcFS-Analyzer

Первый публичный релиз

MAGNET Talks — Франкфурт, Германия (27 июля 2022)
Название презентации: Современные методы цифровой криминалистики и реагирования на инциденты
https://www.magnetforensics.com/

Загрузка

Скачайте последнюю версию Collect-MemoryDump из раздела Релизы.

[!NOTE] По умолчанию Collect-MemoryDump не включает все внешние инструменты.

Вам необходимо загрузить следующие зависимости:

• Belkasoft Live RAM Capturer
• MAGNET DumpIt for Windows
• MAGNET Encrypted Disk Detector
• MAGNET RAM Capture
• MAGNET Response

Скопируйте необходимые файлы в следующие расположения:

Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys

MAGNET DumpIt for Windows
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe

MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe

MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe

MAGNET Response
$SCRIPT_DIR\Tools\MagnetRESPONSE\MagnetRESPONSE.exe

Ознакомьтесь: Wiki: Как добавить или обновить зависимости

Использование

.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile] [--Triage]

Пример 1 — Сбор аварийного дампа Microsoft и файла подкачки

.\Collect-MemoryDump.ps1 -Comae --Pagefile

Пример 2 — Сбор сырого физического дампа памяти и файла подкачки

.\Collect-MemoryDump.ps1 -DumpIt --Pagefile

Пример 3 — Сбор сырого физического дампа памяти

.\Collect-MemoryDump.ps1 -WinPMEM

Пример 4 — Сбор аварийного дампа Microsoft, файла подкачки и криминалистических артефактов

.\Collect-MemoryDump.ps1 -Comae --Pagefile --Triage

[!IMPORTANT] На целевой системе должен быть установлен Microsoft .NET Framework 4 (или новее) для работы MAGNET Encrypted Disk Detector и MAGNET Response. Просто пропустите сбор файла подкачки или скачайте и установите Microsoft .NET Framework 4 (автономный установщик) с сайта Microsoft:
https://www.microsoft.com/en-us/download/details.aspx?id=17718

[!IMPORTANT] MAGNET DumpIt for Windows НЕ поддерживает Windows 7. При работе с Windows 7 используйте любой другой инструмент сбора памяти.

Рис. 1: Сообщение справки

Рис. 2: Проверка доступного места

Рис. 3: Автоматическое создание снимка памяти Windows с помощью MAGNET DumpIt for Windows (включая файл подкачки)

Рис. 4: Автоматическое создание снимка памяти Windows с помощью MAGNET DumpIt for Windows (включая файл подкачки)

Рис. 5: Автоматическое создание снимка памяти Windows с помощью WinPMEM (включая файл подкачки)

Рис. 6: Автоматическое создание снимка памяти Windows с помощью Belkasoft Live RAM Capturer (включая файл подкачки)

Рис. 7: Сбор файла подкачки с помощью MAGNET Response

Рис. 8: Сбор информации о запущенных процессах/модулях с помощью MAGNET Response

Рис. 9: Окно сообщения

Рис. 10: MAGNET RAM Capture