Puede encontrar mucha información sobre el Hiberfil.sys
en la página ForensicWiki .
Aunque la mayoría de las estructuras de datos necesarias para analizar el formato de archivo están disponibles en los símbolos de depuración de Microsoft Windows, la compresión utilizada (Xpress) no fue documentada hasta que Matthieu Suiche realizó la ingeniería inversa. Creó con Nicolas Ruff un proyecto llamado Sandman, que es la única herramienta de código abierto que puede leer y escribir el archivo de hibernación de Windows.
El pdf del proyecto Sandman se encuentra aquí .
Los creadores del proyecto Sandman también crearon una herramienta para volcar la memoria y el Hiberfil.sys
archivo (y extraerlo del formato de compresión XPress). MoonSols Windows Memory Toolkit
Algunos de los otros enlaces en la página ForensicWiki ya no funcionan, pero aquí hay uno que encontré: (Si desea sumergirse directamente en la estructura de formato, puede usar este recurso. Para el encabezado, los primeros 8192 bytes del archivo, no necesita descomprimirlos)
Hibernation File Format.pdf
Este último PDF y el último enlace en la página ForensicWiki deberían proporcionarle suficiente información sobre la estructura del archivo Hiberfil.sys
.
Los archivos de hibernación consisten en un encabezado estándar (PO_MEMORY_IMAGE), un conjunto de contextos y registros de kernel como CR3 (_KPROCESSOR_STATE) y varios conjuntos de bloques de datos Xpress comprimidos / codificados (_IMAGE_XPRESS_HEADER y _PO_MEMORY_RANGE_ARRAY).
El encabezado estándar existe en el desplazamiento 0 del archivo y se muestra a continuación. En general, el miembro Signature debe ser "hibr" o "wake" para que se considere válido, sin embargo, en casos excepcionales, el encabezado PO_MEMORY_IMAGE completo se ha puesto a cero, lo que puede evitar el análisis del archivo de hibernación en la mayoría de las herramientas. En esos casos, la volatilidad utilizará un algoritmo de fuerza bruta para localizar los datos que necesita.
Las referencias en esos documentos también deberían darle muchas otras fuentes para explorar.