В одной из наших статьей посвященных форензике мы говорили об анализе дампа памяти с помощью Volatility. Сегодня я покажу, как создать дамп оперативной памяти с помощью FTK Imager для Windows.
Еще по теме: Основы компьютерной криминалистики
Создание дампа оперативной памяти с помощью FTK Imager
Первый шаг компьютерного криминалистического анализа – сбор данных с исследуемого устройства. Информация, хранящаяся в оперативной памяти, крайне важна для криминалистической экспертизы. Для создания дампа оперативной памяти существует различные инструменты. О многих из них мы рассказывали в других публикациях (используйте поиск по сайту). В этой статье рассмотрим FTK Imager.
Скачать FTK Imager
Прежде всего, нам нужно скачать последнюю версию FTK Imager с официального сайта https://accessdata.com/product-download/ftk-imager-version-4-5.
После нажатия на «Download now» мы попадаем на страницу, где нужно указать адрес электронной почты (для этой цели подойдет одноразовая почта) и другую информацию. На этот адрес будет отправлена ссылка для скачивания FTK Imager,
После нажатия на «Download FTK Imager» начнется загрузка файла примерно 50 МБ.
После загрузки устанавливаем инструмент, как другие приложения Windows.
Использование FTK Imager
Находим и в меню пуск FTK Imager и запускаем от имени администратора.
После запуска появится главное окно.
Открываем меню «File» и в выпадающем меню выбираем пункт «Capture Memory».
Теперь нужно выбрать папку для сохранения дампа памяти.
После выбора папки, отметьте галочкой пункт «Create AD1».
Для создания дампа ОЗУ нажмите «Capture Memory».
Процесс создания дампа ОЗУ.
После завершения дампа памяти начнется захват файла подкачки и создание файла AD1:
После завершения нажмите кнопку «Close».
Все файлы созданы и находятся в выбранной ранее папке.
Заключение
Теперь у нас есть все необходимое для дальнейшего анализа. Можно открыть образ с помощью плагина 7-Zip или исследовать полученный файл .mem с помощью инструмента Volatility на компьютере с Kali Linux (ссылка на подробную инструкцию в начале статьи).
Полезные ссылки:
ну и как сие применить в боевых условиях скажем так? пришли «дяди», копм вырубил — озу затерлось.