Dump mémoire par la pratique (suite)
Le détonnant papier publié par l'Université de Princeton a permis de mettre en valeur les recherches jusqu'à présent discrètes de bon nombre de spécialistes. A commencer par les travaux de Matthieu Suiche et de Nicolas Ruff qui, pour leur part, on travaillé sur les fichiers d'hibernation de Windows 2000. Un enfant est né de ces recherches, qui porte le nom de Sandman. Nous reviendrons sur le sujet dans les jours qui viennent... C'est ce même Matthieu Suiche qui écrit, quelques jours plus tard, « l'accès à la mémoire physique est à la mode », et de signaler l'existence d'un autre hack, celui d'Adam Boileau -néozélandais comme son nom l'indique très clairement-, collaborateur d'Immunity Inc, tout comme d'autres. Boileau, nous explique le quotidien The Age, avait il y a deux ans environ, développé un outil également capable d'accéder à la mémoire d'un ordinateur sous Windows, mais via le port Firewire cette fois. La récente campagne de presse autour des développements de Princeton l'on convaincu de publier le fruit de ses recherches... ainsi que le source de son outil Winlockpwn. Winlockpwn est capable à la fois de lire et d'écrire. Ce n'est pas tout. Car ce lundi, c'est au tour de Robert Wesley McGrew, de McGrew Security, de lancer son propre « dump mémoire ». Une sorte de clone directement inspiré des travaux de Princeton, et qui démarre également sur une clef usb. La seule -et principale difficulté- de l'opération, et de démarrer sur un système assez minimaliste pour que l'installation du noyau en mémoire ne vienne pas trop détruire ce qui se trouve déjà dans la mémoire centrale à examiner. Le résultat se nomme msramdmp et doit être lancé à partir d'un noyau Linux minimaliste -l'auteur utilise un Syslinux de 2 Mo environs. A noter au passage une remarque sur ce que peut laisser une machine VMWare en mémoire après un reboot.
