pagefile.sys et swapfile.sys

Présentation

pagefile.sys est le fichier d'échange de Windows : quand la mémoire physique manque, le gestionnaire de mémoire y écrit les pages les moins utilisées de la mémoire des processus et du noyau. swapfile.sys, ajouté avec Windows 8, sert à évacuer tout l'espace de travail des applications modernes (Store/UWP) lorsqu'elles sont suspendues. Ce sont des collections brutes de pages mémoire de 4 Ko, sans structure de système de fichiers ni index. Ils survivent au redémarrage (sauf effacement à l'arrêt), ce qui en fait une source de contenu mémoire ancien bien après que la RAM a été vidée.

Emplacement

Les deux fichiers sont cachés, protégés par le système et verrouillés pendant que Windows tourne.

Ce que l'artefact prouve

• Toute donnée passée en mémoire peut apparaître : lignes de commande et blocs de script, URL et en-têtes HTTP, fragments de conversations, adresses e-mail, chemins de fichiers, fragments de registre, morceaux d'exécutables et parfois des identifiants ou des clés.
• La présence d'un indicateur (domaine C2, nom d'outil, extrait PowerShell) montre qu'il a été en mémoire à un moment donné, ce qui est utile quand les artefacts disque ont été supprimés.
• Il ne donne aucune chronologie fiable : les pages n'ont ni horodatage ni lien avec le processus qui les possédait.

Champs clés

Horodatages

Rétention et effacement

• Le contenu est écrasé au fil de la pagination : les données anciennes ne survivent que dans les emplacements non réutilisés.
• ClearPageFileAtShutdown = 1 sous ...\Session Manager\Memory Management fait remettre à zéro le fichier d'échange à l'arrêt (cela ralentit l'arrêt et c'est rarement activé). Un arrêt brutal court-circuite cet effacement.
• Avec la compression mémoire de Windows 10, une recherche de chaînes manque les données des pages compressées ; les outils qui comprennent ce format (travaux de FireEye/Mandiant sur le magasin compressé) en récupèrent davantage.
• Désactiver ou redimensionner le fichier d'échange peut détruire son contenu.

Collecte

• Cible KAPE : MemoryFiles (pagefile.sys, swapfile.sys, hiberfil.sys et minidumps ; accès brut pour les fichiers verrouillés)
• Velociraptor (Windows.Triage.Targets) : MemoryFiles
• Commandes natives : impossible de copier ces fichiers avec les outils habituels pendant que Windows tourne ; utilisez un collecteur NTFS brut ou prenez-les dans une image disque. Consignez la configuration :

reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v PagingFiles
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v ClearPageFileAtShutdown

Outils d'analyse

• bulk_extractor (open source) : extrait URL, adresses e-mail, domaines, numéros de carte, JSON et plus encore des données brutes, avec histogrammes.
• strings (Sysinternals, GNU) : extraction rapide de chaînes ASCII et UTF-16 ; recherche d'indicateurs.
• YARA : analyse du fichier avec des règles visant outils, webshells ou configurations C2.
• Outils de carving (PhotoRec, scalpel) : récupération de fichiers intégrés comme des images ou des documents.

Conseils d'investigation

• Cherchez d'abord les indicateurs connus du dossier (IP, domaines, noms de fichiers, préfixes PowerShell encodés comme JAB / SQBFAFgA), puis examinez le contexte de chaque résultat.
• Une occurrence d'un outil ou d'un domaine dans le pagefile sans trace disque appuie un scénario d'anti-forensique, mais rapportez-la comme « présente en mémoire à une date inconnue ».
• Combinez avec hiberfil.sys et les vidages mémoire pour une preuve mémoire plus complète, et avec une capture de RAM à chaud si elle existe (ordre de volatilité).
• Appliquez des règles de manipulation strictes aux identifiants extraits.