hiberfil.sys.

Archivo de hibernacion comprimido de Windows que guarda una instantanea casi completa de la memoria fisica en el momento de la hibernacion, permitiendo acceso forense a la RAM de un sistema apagado. Pertenece a la categoría de Forense y respuesta en ciberseguridad.

Archivo de hibernacion comprimido de Windows que guarda una instantanea casi completa de la memoria fisica en el momento de la hibernacion, permitiendo acceso forense a la RAM de un sistema apagado.

Cuando Windows hiberna o realiza un apagado Fast Startup, el kernel escribe una imagen comprimida de la memoria fisica en C:\hiberfil.sys antes de apagar. El archivo usa compresion Xpress-Huffman y contiene listas de procesos, conexiones de red, modulos cargados, estructuras del kernel y datos de usuario tal como existian en el momento de hibernar. Los forenses descomprimen hiberfil.sys con herramientas como hibinfo de Volatility, hibr2bin o Hibernation Recon, y tratan la imagen resultante como un volcado de memoria. Es especialmente util cuando se encuentra el equipo apagado: aporta evidencia sobre procesos, codigo inyectado y credenciales que de otro modo seria irrecuperable. En Windows moderno suele usarse Hiberboot, por lo que incluso apagados normales pueden dejar un hiberfil util.

Las defensas contra hiberfil.sys combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Archivo de hibernacion, Imagen de hibernacion de Windows.