Microsoft Windows використовує файл підкачування (pagefile.sys), для зберігання блоків пам'яті, которые в данный момент не помещаются в физическую память.
Цей файл, хранится по пути %SystemDrive%\pagefile.sys и является скрытым системным файлом и не может быть прочитан или доступен пользователю, включая Администратора в активной системе.
Этот файл можно прочитать, проанализировав неактивную файловою систему иливыполнив проверку с помощью таких инструментов, якFTKImager .
В отличие от файлов гибернации, файлы страниц не могут быть обработаны с помощьюВолатильність: фактически файл страниц – это просто «дыры» в памяти, где блоки хранятся на диске.
Поскольку данные в файле подкачки не хранятся последовательно, то шанс найти целую цепочку данных очень мал.
Хотя можно обнаружить полезные данные в блоках, меньших или равных 4 КБ, это самый большой показатель, на который можно рассчитывать.
Таким чином, наиболее продуктивным методом анализа файлов подкачки является поиск строк.
Анализ с помощью «строки».
Чтобы начать анализ файла подкачки, вы можете использовать команду strings.
Вот несколько примеров:
Перечислите все пути в файле подкачки
$strings pagefile.sys | grep -i "^[a-z]:\\\\" | sort | uniq | less
Поиск переменных среды
$ strings pagefile.sys | grep -i "^[a-zA-Z09_]*=.*" | sort -u | uniq | lessКак найти URL
$ strings pagefile.sys | egrep "^https?://" | sort | uniq | lessПоиск адресов электронной почты
$ strings pagefile.sys | egrep '([[:alnum:]_.-]{1,64}+@[[:alnum:]_.-]{2,255}+?\.[[:alpha:].]{2,4})'Анализ по правилам YARA
Крім того, вы можете сканировать pagefile.sys, используя YARA.
Используя (наприклад) набор правил, вы можете сканировать файл подкачки, чтобы найти некоторые вредоносные артефакты, не найденные в энергозависимой памяти:
$ yara malware_rules.yar pagefile.sys