Şifreli Cihazlarda Bellek Analizi: BitLocker Aktıkken Ne Yapılır

BitLocker etkinken cihazın belleğini analiz etmek, adli bilişimde en değerli kanıtlardan birini ele geçirmek demektir. Çünkü çalışan bir sistem belleğinde, BitLocker ana anahtarı (master key) ve hatta şifrelenmiş verinin şifresi açılmış parçaları bulunabilir. Ama yanlış adım atarsan tüm kanıt kaybolur.

İlk yapman gereken, cihazın gücünü kesmeden belleği bir dosyaya kaydetmektir. Eğer cihazı kapatırsan, BitLocker anahtarı bellekten silinir ve daha sonra şifreli diski açman çok zorlaşır.

Windows'ta bunun için WinPmem aracını kullanabilirsin. Cihazda yönetici haklarıyla bir komut istemini aç ve şu komutu çalıştır:

1winpmem_mini_x64.exe memdump.raw

Bu komut tüm fiziksel belleği memdump.raw dosyasına kaydeder. Dosya boyutu cihazın RAM miktarına eşittir; 8 GB RAM varsa 8 GB dosya oluşturur.

Neden bu şekilde yapılır? Çünkü BitLocker anahtarı, Windows çalışırken bellekte açık halde tutulur. Cihazı kapatırsan, anahtarı geri alamazsın.

Bellek dumplanıktan sonra, dumped dosyasını başka bir bilgisayarda (Linux'ta) analiz edersin. Volatility adlı bir bellek analiz aracı kullanarak BitLocker anahtarını arayabilirsin.

Linux'ta Volatility kuruluysa, şu komutu çalıştır:

1volatility -f memdump.raw --profile=Win10x64 bitlocker

Eğer başarılıysa, BitLocker ana anahtarını (master key) çıktı olarak göreceksin. Bu anahtar, şifreli sürücüyü açmak için kullanılacak.

Çıktı şuna benzer:

1VolumeKey: 0x1a2b3c4d5e6f7a8b9c0d1e2f3a4b5c6d7e8f9a0b1c2d3e4f5a6b7c8d9e0f

Anahtarı elde ettikten sonra, sürücüyü Linux'ta bittorrent veya cryptsetup ile açabilirsin:

1cryptsetup open --type BitLocker /dev/sdb1 bitlocker_volume --key-file=anahtar.bin

Bu komut, BitLocker ile şifrelenmiş /dev/sdb1 sürücüsünü bitlocker_volume adıyla açar. Artık /dev/mapper/bitlocker_volume üzerinden verilere erişebilirsin.

Bir hata: Cihazı kapatmadan bellek dumplaması yapmadan cihazı kapatmak. Bunu yaparsanız BitLocker anahtarı bellekten silinir ve şifreli diski açmak çok daha zor hale gelir.

İkinci önemli nokta: Bellek dumplaması sırasında cihazı kablolu internete bağlı tutma. Çünkü Windows güncellemeleri ya da cloud senkronizasyonu bellek içeriğini değiştirebilir.

Üçüncü ipucu: Volatility profilini doğru seç. Eğer Windows 10 dumpu ise Win10x64 kullan; Windows 11 ise Win11x64. Yanlış profil seçersen anahtar bulunamayabilir.

Dördüncü: Dumped dosyasının hash'ini al (MD5, SHA256). Bunun adli bilişimde kanıt zinciri (chain of custody) için gereklidir.

1sha256sum memdump.raw

Bu adımları takip ettiğinde, BitLocker aktıkken bile cihazın belleğinden anahtarı çıkarabilir ve şifreli verilere erişebilirsin.