Virtualisation d'image Encase

Bonjour a tous,

je vous explique la situation, je suis actuellement en stage dans une entreprise d'investigation légal.
Donc l'entreprise reçoit un bon nombre d'ordinateur fixe, portable, tablette etc.. Une fois les ordinateurs récupérés, ils créent une image du disque dur sous un format Encase (.E01). Mon objectif est de créer une VM sous virtualbox de ces fichiers E01, pour simuler le pc d'origine.

Alors pour se faire, j'utilise Access Data FTK Imager pour monter l'image E01 (physique et logique), l'image apparaît donc en temps que physicalDrive2 et apparaît aussi dans le poste de travail et je peux donc me balader dans les dossiers (tout marche parfaitement).

Ensuite je crée un .VMDK a partir du disque que j'ai monté, j'utilise donc la commande "VBoxManage InternalCommands createrawvmdk -filename c:\MonImage.vmdk -rawdisk \\.\physicalDrive2" pour créer le fichier VMDK, celui ci se crée bien.

Je crée ensuite ma VM dans virtual Box avec le .VMDK et au moment de lancer ma VM, en arrivant au lancement de Windows, j'ai le droit a un beau blue screen.

Je ne sais pas d'ou vient le problème, tout ce que je sais c'est qu'en désactivant l'option "Activer les IO-APIC" les 2 seuls VM qui fonctionnent (2 sur 25 ^^) me font un blue screen. :) J'ai déjà essayer pas mal de chose avec Hiren's bootCD mais sans grand succès. :)

Si ça peut être utile a dire, je ne connais absolument rien a l'image que je dois virtualiser, je ne sais pas si l'OS est un XP, Vista, 2000 ou même une contrefaçon de Windows et je ne sais pas non plus qu'elle est la config du pc. :)

Si vous avez une idée, je suis preneur! :)

Merci d'avance.

Cordialement

Grégoire Meurillon

Ton vmdk tu le place en ide ou en sata ?

En chipset, mets plutôt ICH9

Bonjour,

Mon vmdk est placé en IDE mais j'ai aussi essayer en SATA mais le problème est resté le même.

Je vais essayer de mettre le chipset en ICH9 demain, quand j'aurai l'ordinateur du boulot :)

En attendant, j'essaye quand même de refaire la même virtualisation chez moi avec le vieille ordinateur de bureau :)

Je vous direz demain l'avancement :)

Cordialement

Bonjour,

malheureusement le problème reste le même:?
Blue Screen au chargement de windows.

peux-tu donner plus d'info sur le BSOD ?

Pièce jointe 150893

voila le blue screen en question :)
d'après ce que j'ai pu lire: selon la version de Windows, si la configuration matérielle est différente, il se peut que Windows ne se lance pas.

C'est un prob. de pilote disque dur. Pour pallier à cela il te faut normalement appliquer mergeide.reg (tu trouveras l'info sur google)

Vu que le système est inopérant (même prob. en mode sans echec, je présumes), tu peux essayer de l'appliquer depuis un livecd possédant un utilitaire d'accès à une base de registre sur disque dur.

Si tu fais cela pour t'entrainer, je serais intéressé pour récupérer l'image plantée en l'état ( fichier .vdi Virtualbox, ou .vmdk VMWare ) sous réserve qu'il n'y ai pas de donnée bien entendu.

Oui même en mode sans échec, le résultat est le même :)

Je vais allez me renseigner sur mergeide.reg, merci :)

Malheureusement, je ne peux pas te donner les fichiers vu que ce n'est pas un entrainement et j'ai interdiction de transmettre quoi que ce soit (les ordinateurs qu'ont recupère, sont en générale liés a une affaire judiciaire) :s

Avec le cd de Windows, j'ai réussi a un peu bidouiller pour en faire fonctionner quelques unes mais au final, le même problème revient sur la majorité des VM.
Je vais changer de méthode et passer par un fichier DD et plus par un fichier .E01 pour voir ce que ça donne :)

Ton prob n'est n'est pas là je pense.

Sur windows XP, Il y a un lien avec le matériel. C'est pour ça que ça plante au boot depuis une VM.

Essayes de voir si tu peux appliquer le mergeide depuis un live-cd PE permettant l'accès à la base de registre du système concerné sans l'avoir démarré.

Mergeide s'applique normalement sur une machine avant de la virtualiser.

Dans ton cas, tu es obligé de l'appliquer offline et sur l'image que tu as généré, analyse forensique obligeant.

Je ne suis pas du tout un pro, je n'ai aucune idée de comment fonctionne ou faire fonctionner Mergeide mais je vais allez me renseigner un peu sur google quand j'aurai un peu de temps libre :)

Merci ! :)

mergeide est un fichier .reg qui modifie la base de registres

Oui j'ai bien compris qu'il modifie la base de registre :) mais je dois juste le lancer sans rien devoir faire d'autre?

je n'aime pas trop toucher a Windows.. je ne connais pas assez pour pouvoir m'amuser avec, surtout que ce n'est pas mon ordinateur :)

Normalement, il faut l'appliquer avant de virtualiser le Windows concerné. Dans ton cas, comme il s'agit d'une image de la machine physique, il te faut arriver à modifier la base de registres de contenant dans cette image. D’où ma proposition d'utiliser un live-cd Windows PE dans la VM pour modifier la base de registre du disque dur virtuel.