BitLocker Aktıkken Bellek Analizi: Şifreli Cihazlarda Adım Adım

BitLocker Windows diskleri şifreler. Cihaz açıkken disk şifrelenmiş olsa bile bellek (RAM) içinde şifreleme anahtarları açık halde tutulur. Bu, adli bilişim soruşturmalarında kritik bir fırsat yaratır.

Bellek analizi yapabilmek için önce cihazdan bellek dökümü almanız gerekir. Cihaz açık durumdayken, WinPmem gibi bir araç kullanarak RAM içeriğini bir dosyaya kaydedebilirsiniz. Windows üzerinde yönetici olarak çalışan bir komut satırından şu adımları izleyin.

İlk olarak WinPmem'i indirin ve açık cihazda çalıştırın:

1winpmem.exe -o memdump.raw

Bu komut RAM içeriğinin tamamını memdump.raw dosyasına yazar. Dosya boyutu cihazın RAM miktarına eşittir (örneğin 8 GB RAM = 8 GB dosya).

Bellek dökümünü aldıktan sonra Volatility adli analiz aracını kullanarak BitLocker anahtarlarını arayabilirsiniz. Volatility, bellek içindeki yapıları tanıyıp şifreleme anahtarlarını bulabilir:

1volatility3 -f memdump.raw windows.registry.printkey --key "ControlSet001\\Control\\DPAPIMachineKeyLocation"

Bu komut DPAPI (Data Protection API) anahtarlarını gösterir. BitLocker anahtarları genellikle DPAPI ile korunmuş şekilde bellek içinde bulunur.

Daha doğrudan bir yöntem, Volatility'nin BitLocker modülünü kullanmaktır:

1volatility3 -f memdump.raw windows.bitlocker

Beklenen çıktı: BitLocker'ın aktif olduğu sürücülerin TPM (Trusted Platform Module) anahtarları, yedek kurtarma anahtarları ve bazen açık metin halinde şifreleme anahtarları görüntülenir.

Pratik adımlar:

1. Cihaz açık durumdayken bellek dökümü alın (WinPmem veya DumpIt).
2. Dökümü güvenli bir ortama taşıyın.
3. Volatility ile profil belirleyin (Windows 10/11 sürümü).
4. BitLocker anahtarlarını sorgulamak için yukarıdaki komutları çalıştırın.
5. Bulduğunuz anahtarları şifreli disk çözmek için kullanın.

En önemli nokta: BitLocker etkinken cihazı kapatmayın. Cihaz kapandığında bellek temizlenir ve anahtarlar kaybolur. Adli müdahale hızlı ve cihaz açık durumdayken yapılmalıdır.

Bu teknik sadece yasal soruşturmalar için, uygun yetki ve izin çerçevesinde kullanılmalıdır.