Hiberfil.sys : fiche forensique

Présentation

Quand Windows se met en veille prolongée (hibernation), il compresse le contenu de la mémoire physique dans C:\hiberfil.sys afin de restaurer la session au prochain démarrage. Depuis Windows 8, le démarrage rapide (arrêt hybride) y écrit aussi à chaque « Arrêter » normal : les sessions utilisateur sont fermées, la session noyau et les pilotes sont sauvegardés. Pour l'enquêteur, ce fichier est une image mémoire figée à un instant passé, disponible même quand une capture de RAM à chaud n'a pas été possible.

Emplacement

Version de Windows	Chemin	Remarques
XP / Vista / 7	`C:\hiberfil.sys`	Écrit uniquement lors de l'hibernation
8 / 8.1 / 10 / 11	`C:\hiberfil.sys`	Écrit lors de l'hibernation et, si le démarrage rapide est actif, à l'arrêt (session noyau seulement)

Le fichier n'existe que si l'hibernation est activée (powercfg /h on). powercfg /h off le supprime.

Ce que l'artefact prouve

Une image d'hibernation complète contient ce que contenait la RAM : processus en cours et lignes de commande, pilotes et DLL chargés, connexions réseau, code injecté, données de registre en mémoire et fragments de données utilisateur.
Une image de démarrage rapide ne contient que la session noyau, mais conserve pilotes, structures noyau et une partie de l'état du système ; les processus utilisateur ont disparu.
Elle prouve l'état à un instant : la dernière hibernation ou le dernier arrêt hybride, qui peut dater de plusieurs jours avant la découverte de l'incident.
Des données du ShimCache en mémoire et d'autres caches pas encore écrits sur disque peuvent y être retrouvées.

Champs clés

Élément	Signification
En-tête	Signature, taille de page, heure système de l'hibernation et table des ensembles compressés
Ensembles de pages compressées	Pages mémoire compressées (Xpress LZ77, et LZ77+Huffman sur les versions récentes de Windows 10/11)
Sections noyau / utilisateur	Les versions récentes stockent séparément la section noyau et le reste

Horodatages

Horodatage	Positionné quand	Format	Pièges
Modification $SI du fichier	Dernière hibernation ou dernier arrêt hybride	NTFS, UTC	À la reprise, l'en-tête est mis à jour : le fichier ne décrit plus une image restaurable
Horodatages des structures mémoire	Création de processus, heures de connexion, etc.	Selon la structure (surtout FILETIME, UTC)	Reflètent l'instant de l'hibernation, pas celui de l'analyse

Rétention et effacement

Le fichier est écrasé à chaque hibernation ou arrêt hybride : il ne contient jamais que le dernier.
Après une reprise réussie, le contenu est en partie invalidé ; des données plus anciennes peuvent subsister dans des pages résiduelles et être récupérées par carving.
Désactiver l'hibernation supprime le fichier ; les clusters supprimés peuvent encore être récupérés depuis une image disque.

Collecte

Cible KAPE : MemoryFiles (copie brute de hiberfil.sys, pagefile.sys, swapfile.sys et des minidumps)
Velociraptor (Windows.Triage.Targets) : MemoryFiles
Commandes natives : le fichier est verrouillé ; collectez-le par accès NTFS brut ou depuis une image disque. Consignez la configuration :

powercfg /a
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Power" /v HiberbootEnabled

HiberbootEnabled = 1 signifie que le démarrage rapide est actif.

Outils d'analyse

Volatility 3 : les versions récentes intègrent une couche d'hibernation et les plugins windows.hibernation.Info / windows.hibernation.Dump, qui convertissent les fichiers d'hibernation modernes en image mémoire brute pour les plugins windows.* habituels.
Hibr2Bin (Comae, open source) : convertit les fichiers d'hibernation en images brutes.
Hibernation Recon (Arsenal Recon) : décompresse le contenu actif et résiduel.
bulk_extractor / YARA : recherche d'indicateurs une fois le fichier décompressé.

Le RAM Parser applique ses plugins à des images mémoire brutes : convertissez d'abord hiberfil.sys en image brute, puis chargez le résultat.

Conseils d'investigation

Collectez toujours hiberfil.sys sur les portables : c'est peut-être la seule image mémoire antérieure au confinement de l'incident.
Vérifiez HiberbootEnabled : avec le démarrage rapide, chaque arrêt normal rafraîchit le fichier, donc un arrêt « propre » par l'utilisateur l'écrase.
Comparez la liste des processus de l'image d'hibernation avec les artefacts d'exécution disque (Prefetch, Amcache) pour trouver des processus sans trace sur disque.
Extrayez les exécutables de l'image et triez-les comme des fichiers PE.
Pour élargir la couverture mémoire, ajoutez pagefile.sys et les vidages mémoire.

hiberfil.sys (fichier d'hibernation)

Outils