hiberfil.sys.

Fichier d'hibernation Windows compresse qui stocke un instantane quasi complet de la memoire physique au moment de l'hibernation, donnant un acces forensique a la RAM depuis un systeme eteint. Cette notion relève de la catégorie Forensique et réponse en cybersécurité.

Fichier d'hibernation Windows compresse qui stocke un instantane quasi complet de la memoire physique au moment de l'hibernation, donnant un acces forensique a la RAM depuis un systeme eteint.

Lorsque Windows hiberne ou effectue un arret Fast Startup, le noyau ecrit une image compressee de la memoire physique dans C:\hiberfil.sys avant l'extinction. Le fichier utilise la compression Xpress-Huffman et contient listes de processus, connexions reseau, modules charges, structures du noyau et donnees utilisateur dans l'etat exact au moment de l'hibernation. Les analystes decompressent hiberfil.sys avec hibinfo de Volatility, hibr2bin ou Hibernation Recon puis traitent l'image brute comme un dump memoire. C'est particulierement utile lorsqu'on saisit un poste eteint : on obtient des preuves sur les processus, le code injecte et les identifiants autrement irrecuperables. Windows moderne utilise souvent Hiberboot, si bien qu'un arret normal peut laisser un hiberfil exploitable.

Les défenses contre hiberfil.sys combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Fichier d'hibernation, Image d'hibernation Windows.