Pagefile Forensics Analysis

Définition

Le fichier d'échange Windows (pagefile.sys) est un fichier caché stocké à la racine du volume système (C:\pagefile.sys) qui sert d'extension virtuelle de la RAM. Windows y déplace des pages mémoire moins fréquemment utilisées pour libérer de la RAM physique. Forensiquement, pagefile.sys peut contenir des fragments de données mémoire précieuses : chaînes de caractères de documents, fragments de communications réseau, clés de chiffrement non encore écrasées, et informations sur les processus. Pagefile.sys est inaccessible depuis Windows en cours d'exécution (il est verrouillé par le système). Pour l'analyse forensique, son contenu n'est accessible que depuis une image forensique du disque ou en copiant le fichier via un outil bas niveau (comme ceux offerts par les distributions forensiques en mode live, ou via un Volume Shadow Copy). L'outil CopyFile sous Windows peut parfois contourner le verrouillage, mais une image forensique reste la méthode la plus fiable. Le contenu de pagefile.sys est non structuré — c'est une suite de pages mémoire de 4096 octets sans organisation globale identifiable. L'analyse repose donc sur des techniques similaires au file carving : recherche de patterns et de chaînes de caractères, identification de structures PE (exécutables paginés), de signatures de fichiers courants, et de patterns de texte. Des outils comme strings (extraire toutes les chaînes ASCII/Unicode lisibles) sont le point de départ habituel. Volatility peut analyser pagefile.sys en complément d'un dump mémoire physique. Avec le plugin windows.pagefile.Pagefile dans Volatility 3, les pages swappées (déplacées vers le pagefile) peuvent être réintégrées dans l'analyse mémoire complète, restituant des informations sur les processus dont certaines pages étaient dans le pagefile au moment du dump. La fonctionnalité 'Clear pagefile at shutdown' (GPO Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options) efface le pagefile à l'arrêt du système — sa désactivation par un attaquant préserve les données sensibles dans le pagefile, potentiellement récupérables forensiquement si le système redémarre sans effacement.