Memory Forensics Hibernation File

Définition

Le fichier d'hibernation Windows (hiberfil.sys) est un fichier système présent à la racine du volume système (C:\hiberfil.sys) qui stocke le contenu complet de la mémoire RAM quand Windows passe en mode hibernation (Hibernate) ou Fast Startup (démarrage rapide depuis Windows 8+). Forensiquement, hiberfil.sys est l'équivalent d'un dump mémoire complet, permettant une analyse forensique de la RAM sans nécessiter un outil de capture mémoire live. hiberfil.sys est créé par le pilote Windows hiber.sys dans un format propriétaire compressé (WofCompression ou LZXPress). Sa taille est généralement égale à la taille de la RAM physique de la machine (un ordinateur avec 16 Go de RAM aura un hiberfil.sys de ~16 Go). Il est protégé par Windows et normalement inaccessible aux processus utilisateur — une image forensique de la partition est nécessaire pour y accéder. Volatility ne peut pas analyser directement hiberfil.sys dans son format compressé original. L'outil Hibr2Bin (un utilitaire Microsoft) ou les outils de la suite Volatility (hibr2bin.py, ou le plugin windows.hibernation dans certaines versions) convertissent le format hiberfil.sys en un dump mémoire RAW analysable par Volatility avec les plugins habituels. La conversion peut prendre plusieurs minutes pour de grandes tailles de RAM. La valeur forensique de hiberfil.sys est particulièrement importante pour les investigations sur des ordinateurs portables éteints ou en veille : si l'ordinateur était en hibernation plutôt qu'éteint au moment de la saisie, le hiberfil.sys contient potentiellement des données mémoire précieuses — processus actifs, connexions réseau établies, chiffrement BitLocker déverrouillé (FVEK en mémoire), et documents ouverts. Le Fast Startup de Windows 10/11 crée également un hiberfil.sys partiel (kernel state seulement, pas la mémoire utilisateur complète) à chaque arrêt — ce fichier est moins complet qu'une hibernation complète mais peut contenir des artefacts forensiques utiles.