WinPmem

Définition

WinPmem est un outil open source d'acquisition de mémoire physique pour Windows, développé dans le cadre du projet Rekall par Michael Cohen et l'équipe forensique de Google. Il permet de créer des dumps mémoire complets sur des systèmes Windows pour une analyse ultérieure avec Volatility ou d'autres outils forensiques. WinPmem se distingue par son architecture : il fonctionne comme un pilote noyau signé qui accède directement à la mémoire physique en bypassant les mécanismes de protection Windows (PatchGuard n'interfère pas avec les lectures de mémoire physique legales). Le driver est embarqué dans l'exécutable principal, simplifiant son déploiement sur des systèmes cibles : un seul fichier winpmem.exe suffit, sans installation préalable. Les formats de sortie supportés par WinPmem incluent le format raw (dump brut de la mémoire physique), le format ELF (core dump Linux-compatible pour la compatibilité avec les outils open source), et le format AFF4 (Advanced Forensics Format version 4), un format moderne qui intègre compression, intégrité (hashes SHA-256), et métadonnées riches. Le format AFF4 est préférable pour les investigations formelles car il auto-documente l'acquisition. Sur les systèmes Windows 10/11 modernes, WinPmem doit faire face à des défis supplémentaires. Secure Boot avec UEFI peut bloquer le chargement de pilotes non signés. Les configurations d'hyperviseur (Hyper-V, VBS/HVCI) peuvent segmenter la mémoire de façon à rendre certaines régions inaccessibles. WinPmem gère ces cas en documentant les régions inaccessibles dans l'image produite. Pour les environnements d'entreprise, WinPmem peut être déployé à distance via des outils de gestion comme SCCM, PSExec, ou les plateformes EDR/DFIR comme Velociraptor. L'intégration dans des playbooks SOAR permet l'acquisition mémoire automatisée déclenchée par des alertes critiques.