RAM Slack File Slack Forensics

Définition

Le RAM slack et le File Slack sont des zones de données résiduelles dans les systèmes de fichiers NTFS et FAT qui peuvent contenir des fragments de données supprimées ou des preuves forensiques non immédiatement visibles lors d'une analyse standard. Ces zones sont exploitées pour la dissimulation de données et peuvent contenir des informations récupérables lors d'investigations forensiques approfondies. Le File Slack (ou Disk Slack) est l'espace entre la fin du contenu logique d'un fichier (end of file logical, EOF) et la fin du dernier cluster alloué au fichier. Dans NTFS, les clusters ont une taille fixe (généralement 4 Ko pour les partitions modernes). Si un fichier de 5001 octets est stocké dans des clusters de 4096 octets, il occupe 2 clusters complets (8192 octets) mais n'utilise que 5001 octets — les 3191 octets restants dans le deuxième cluster constituent le File Slack. Ces octets ne sont pas effacés lors de l'écriture du nouveau fichier et peuvent contenir des fragments du fichier qui occupait ces clusters auparavant. Le RAM Slack est spécifique aux systèmes FAT16 et FAT32 (moins pertinent pour NTFS). Dans les anciennes versions de Windows (FAT), lors de l'écriture d'un fichier, la dernière portion du secteur final était remplie avec le contenu de la RAM au moment de l'écriture — d'où le nom 'RAM slack'. Cette zone pouvait contenir des fragments de mémoire active, potentiellement incluant des mots de passe ou des données sensibles de processus actifs au moment de l'écriture. Pour les investigations forensiques, les outils d'analyse du slack space incluent : The Sleuth Kit (blkls/dls pour extraire l'espace non alloué et le slack), Autopsy (analyse automatique du slack et de l'espace non alloué), et des outils spécialisés comme Slack Space Steganography tools (malveillants) qui cachent des données dans le file slack. La récupération de données depuis le file slack peut révéler des fragments de fichiers précédents qui occupaient ces clusters, contribuant à la reconstruction de documents supprimés.