Windows: Estrarre e analizzare i dati contenuti nella RAM

La RAM di un PC è una memoria volatile, quando il sistema viene spento tutte le informazioni in essa contenute vengono perse. Tra le informazioni presenti in RAM è possibile trovare password, informazioni relative ai socket aperti, il contenuto della clipboard, parti di un documento non ancora salvato su disco, ecc.  Tali informazioni non sono utili solo nel campo dell'informatica forense ma possono essere utili anche a chi si occupa di sicurezza informatica per scoprire vulnerabilità di alcuni software oppure per recuperare la chiave privata da utilizzare per decriptare i dati cifrati da un ransomware (ultimamente molto diffusi).

Ci sono molti tool in grado di catturare i dati presenti in memoria tuttavia uno dei più utilizzati è il Forensic Tool Kit (FTK) messo a disposizione da AccessData. In particolare utilizzerò il tool FTK Imager di AccessData scaricabile gratuitamente dal seguente link
DOWNLOAD FTK Imager

Installazione di AccessData FTK Imager

1. Una volta scaricato FTK Imager possiamo procedere alla sua installazione cliccando sul file eseguibile. Nella prima schermata di benvenuto basta cliccare su Next per proseguire con l'installazione.
   
   

   

   FIG 1 - Installazione AccessData FTK Imager

2. Accettiamo i termini della licenza selezionando l'apposita opzione e clicchiamo sul pulsante Next per proseguire.
   
   

   

   FIG 2 - AccessData FTK Imager, Termini di licenza

3. Nella schermata successiva verifichiamo il percorso di installazione del Toolkit e clicchiamo su Next.
   
   

   

   FIG 3 - AccessData FTK Imager, Percorso di installazione

4. A questo punto siamo pronti per procedere con l'installazione del Toolkit. Cliccare sul pulsante Install per dare seguito all'installazione.
   
   

   

   FIG 4 - AccessData FTK Imager, Installazione

5. Al termine dell'installazione, lasciando la spunta all'opzione Launch AccessData FTK Imager e cliccando su Finish possiamo avviare il toolkit
   
   

   

   FIG 5 - AccessData FTK Imager, Fine installazione e avvio

Eseguire il dump della memoria con FTK Imager

1. Una volta avviato FTK Imager, per catturare l'intero contenuto della memoria RAM, cliccare sul menu File quindi selezionare Capture memory
   
   

   

   FIG 6 - AccessData FTK Imager, Capture Memory...

2. Nella finestra successiva indicare il nome da assegnare al file di dump della memoria, il percorso dove si intende salvare il file  e specificare se si intende salvare anche il file della memoria virtuale (pagefile.sys) quindi cliccare su Capture Memory.
   
   

   

   FIG 7 - AccessData FTK Imager, Memory Capture
3. Non resta che attendere la fine dell'operazione. 
   
   

   

   FIG 8 - AccessData FTK Imager, Memory Progress

Per analizzare il file di dump creato è possibile utilizzare il tool Volatility (scaricabile da QUI ) oppure utilizzare Kali Linux che lo include già al suo interno. Di seguito mostrerò proprio come utilizzare Kali Linux per analizzare il file di dump creato con FTK Imager.

Analizzare il file di dump creato con FTK Imager utilizzando Kali Linux

1. Da Kali Linux, avviare la finestra terminale
2. Posizionarsi su /usr/share/volatility utilizzando il comando 
   cd /usr/share/volatility
   
   

   

   FIG 9 - Kali Linux, Volatility

3. Lanciando il comando python vol.py -h è possibile visualizzare l'elenco delle opzioni e dei plugin che è possibile utilizzare con Volatility. I plugin ci consentono di estrarre dal file di dump diverse informazioni.
4. Per visualizzare le informazioni del file .mem è necessario lanciare il comando python vol.py imageinfo -f /<percorso_e_nome_file.mem> indicando il percorso e il nome del file .mem creato con FTK Imager. Supponiamo di aver copiato tale file, nominato memdump.mem, sul desktop di Kali Linux, in questo caso il comando da lanciare è il seguente 
   python vol.py imageinfo -f /root/Desktop/memdump.mem
   
   

   

   FIG 10 - Kali Linux, Volatility - Imageinfo

   Dall'analisi del file di dump possiamo estrarre diverse informazioni come la versione del sistema operativo, il numero di CPU, gli indirizzi fisici per ciascun processore, la data e ora relativa alla creazione del dump, ecc.
5. Un'altra informazione utile che possiamo estrapolare dal file di dump della RAM è quella relativa ai processi che erano in esecuzione sulla macchina. Il comando da eseguire da terminale è il seguente
   python vol.py pslist --profile=Win10x64 -f /root/Desktop/memdump.mem
   Dove al posto di Win10x64 va indicato il profilo (Suggested Profile) visualizzato dal comando visto nel punto 4
   

   

   FIG 11 - Kali Linux, Volatility - pslist

6. Anche il plug-in pstree permette di visualizzare i processi che erano in esecuzione e l'output viene formattato evidenziando la struttura ad albero.
   python vol.py pstree --profile=Win10x64 -f /root/Desktop/memdump.mem
   
   

   

   FIG 12 - Kali Linux, Volatility - pstree

7. Per visualizzare l'elenco dei driver che erano caricati è possibile utilizzare il plugin driverscan
   python vol.py driverscan --profile=Win10x64 -f /root/Desktop/memdump.mem
   
   

   

   FIG 13 - Kali Linux, Volatility - driverscan

8. Per conoscere le ultime console eseguite sulla workstation
   python vol.py consoles --profile=Win10x64 -f /root/Desktop/memdump.mem
9. Per visualizzare i servizi che erano in esecuzione
   python vol.py svcscan --profile=Win10x64 -f /root/Desktop/memdump.mem
   

   

   FIG 14 - Kali Linux, Volatility - svcscan

10. Per visualizzare i driver installati e relative periferiche. 
    python vol.py devicetree --profile=Win7SP1x64 -f /root/Desktop/memdump.mem
    
    

    

    FIG 15 - Kali Linux, Volatility - devicetree

11. Per visualizzare gli Hive del registro caricati in memoria 
    python vol.py hivelist --profile=Win7SP1x64 -f /root/Desktop/memdump.mem
    
    

    

    FIG 16 - Kali Linux, Volatility - hivelist

    I due indirizzi evidenziati in figura sono indirizzi virtuali del hive di SAM e SYSTEM. Questi 2 Hive contengono informazioni sufficienti ad estrarre l'hash delle password di Windows (utilizzando il plugin hasdump mostrato di seguito)
12. Con le informazioni recuperate al punto 11, possiamo eseguire il plugin hashdump per risalire all'hash delle password di Windows. 
    python vol.py hashdump --profile=Win7SP1x64 -f /root/Desktop/memdump.mem -y 0xfffff8a000024010 -s 0xfffff8a001f2f010
    
    

    

    FIG 17 - Kali Linux, Volatility - hashdump

L'hash delle password può essere utilizzato per risalire alla password in chiaro degli account di Windows. Dall'output fornito da hashdump, individuare l'account par il quale si intende risalire alla password (in FIG 18 l'account di nostro interesse è Virtual) e copiare l'hash della password (evidenziato in FIG 18).
Una volta trovato l'hash si può tentare di risalire alla password di Windows tramite l'utilizzo di appositi tool, tabelle già compilate o servizi web come https://crackstation.net/

FIG 18 - Kali Linux, Hash della password

Come si intuisce l'argomento è molto vasto e per trattarlo completamente richiederebbe la stesura di un libro. L'articolo vuole essere solo uno spunto indicando le operazioni basilari che è possibile effettuare.