> For the complete documentation index, see [llms.txt](https://dika-maulidal.gitbook.io/home/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://dika-maulidal.gitbook.io/home/writeups-and-walkthroughs/tryhackme-thm/memory-forensics-writeup.md). # Memory Forensics Writeup Perform memory forensics to find the flags

{% embed url="" %} ## Task 2: Login #### What is John's password? Sebelum menjalankan modul forensik, kami harus mengidentifikasi profil OS yang benar. ```shellscript ./volatility_2.6_win64_standalone.exe -f Snapshot6_1609157562389.vmem imageinfo ```

**Profil yang Dipilih:** `Win7SP1x64` Menggunakan modul `hashdump` untuk mengekstrak *hash* kredensial dari *Registry* SAM *hive* di memori. Kami mem-*filter* *output* untuk mencari *hash* pengguna 'John'. ```shellscript ./volatility_2.6_win64_standalone.exe -f Snapshot6_1609157562389.vmem --profile=Win7SP1x64 hashdu ```

**Hash NTLM John:** `47fbd6536d7868c873d5ea455f2fc0c9 (`disimpan ke `john_hash.txt)` Memecahkan *hash* NTLM menggunakan *tool* John the Ripper (dengan format `NT`) dan *wordlist* `rockyou.txt`. ```shellscript john --format=NT --wordlist=/usr/share/wordlists/rockyou.txt john_hash.txt ```

``` John's password is: charmander999 ``` ## Task 3: Analysis #### 3.1 When was the machine last shutdown? Sebelum menjalankan modul forensik, kami harus mengidentifikasi profil OS yang benar. ```shellscript ./volatility_2.6_win64_standalone.exe -f Snapshot19_1609159453792.vmem imageinfo ```

**Profil yang Dipilih**: `Win7SP1x64` Menggunakan plugin `shutdowntime` untuk mengekstrak informasi waktu dari *Registry System hive* di memori. Kami akan menampilkan *timestamp* yang berhubungan dengan waktu *shutdown* terakhir yang tercatat oleh sistem operasi. ```shellscript ./volatility_2.6_win64_standalone.exe -f Snapshot19_1609159453792.vmem --profile=Win7SP1x64 shutdowntime ```

``` 2020-12-27 22:50:12 ``` #### 3.2 What did John write? Menggunakan plugin `consoles` untuk mengekstrak riwayat *output* layar dan *command* dari sesi konsol (CMD/PowerShell) yang masih ada di memori. ```shellscript ./volatility_2.6_win64_standalone.exe -f Snapshot19_1609159453792.vmem --profile=Win7SP1x64 consoles ```

``` You_found_me ``` ## Task 4: TrueCrypt #### What is the TrueCrypt passphrase? Sebelum menjalankan modul forensik, kami harus mengidentifikasi profil OS yang benar. ```shellscript ./volatility_2.6_win64_standalone.exe -f Snapshot14_1609164553061.vmem imageinfo ```

**Profil yang Dipilih**: `Win7SP1x64` Menggunakan plugin `truecryptprhase` untuk menemukan dan mengekstrak *passphrase* TrueCrypt yang tersimpan di memori. Plugin ini dirancang untuk mencari struktur data yang berisi kunci dan kata sandi dari *volume* TrueCrypt yang sedang aktif. ```shellscript ./volatility_2.6_win64_standalone.exe -f Snapshot14_1609164553061.vmem --profile=Win7SP1x64 hashdu ```

``` forgetmenot ``` ***