Förvärvet av flyktigt minne av löpande system har blivit en framträdande och väsentlig procedur i digital kriminalteknisk analys och incidentreaktioner. I själva verket, okrypterade lösenord, kryptografiskt material, textfragment och senaste generationens malware kan lätt skyddas som krypterade blobs på ihållande lagring, samtidigt som leva sömlöst i det flyktiga minnet av ett löpande system. På samma sätt är systems run-time-information, såsom öppna nätverksanslutningar, öppna filer och körprocesser, per definition levande enheter som endast kan observeras genom att undersöka det instabila minnet av ett fungerande system. I detta sammanhang är manipulering av volatila uppgifter medan ett förvärv pågår eller under överföring till en extern betrodd enhet en pågående fråga eftersom den oåterkalleligen kan ogiltigförklara den insamlade bevisningen. För att övervinna sådana problem presenterar vi SMMDumper, en ny teknik för att utföra atomförvärv av flyktigt minne av löpsystem. SMMDumper implementeras som en x86 firmware, som utnyttjar System Management Mode of Intel CPUs för att skapa en komplett och tillförlitlig ögonblicksbild av tillståndet i systemet som, med en minimal hårdvara stöd, är motståndskraftig mot malware attacker. Såvitt vi vet är SMMDumper den första tekniken som kan få hela det flyktiga minnet atomärt, övervinna SMMimposed 4GB barriären samtidigt som integritetsgarantier och körs på råvarusystem. Experimentella resultat visar att den tid som SMMDumper kräver för att förvärva och överföra 6GB fysiskt minne av ett löpande system är rimlig för att möjliggöra en verklig adoption i digitala kriminaltekniska analyser och incidentresponser.
Liknar HyperCheck, SMMDumper REF utnyttjar SMM och PCI nätverkskort för att utföra förvärv av flyktigt minne av det löpande systemet.
When hardware meets software: a bulletproof solution to forensic memory acquisition
{'venue': "ACSAC '12", 'journal': None, 'mag_field_of_study': ['Computer Science']}