Analizador Pagefile.sys de Windows
Análisis forense del pagefile.sys de Windows — carving de archivos, extracción de cadenas e indicadores de compromiso. Procesamiento en streaming: archivos de varios GB permanecen en tu dispositivo.
Los archivos se procesan completamente en tu navegador con WebAssembly. Nada se sube a Internet.
Ilustración — cada banda es una clase de página, proporcional a su parte del archivo.
Suelte pagefile.sys, swapfile.sys, un ZIP de triaje o una carpeta de colección
Todo se queda en este equipo. Los archivos de varios GB y las colecciones ZIP (KAPE, Velociraptor) se leen en flujo, nunca se suben.
Pagefile sintético de una intrusión ficticia (FIN-WKS-07): sin datos reales. Incluye registros de eventos recuperados: pruebe el rango de tiempo.
pagefile.sys · swapfile.sys · .zip · carpetas
Cómo obtener tus datos
Windows mantiene pagefile.sys bloqueado mientras se ejecuta, así que una copia normal falla. Esta es la forma más rápida de obtenerlo.
- Recopila pagefile.sys
- Suelta el archivo, la carpeta o el ZIP arriba
- Todo se queda en tu navegador: no se sube nada
Equipo Windows encendido. Abre cmd con «Ejecutar como administrador» en la carpeta que contiene RawCopy.exe (gratuito, de código abierto, sin instalación). E: es tu disco externo o de evidencias.
mkdir E:\triage 2>nul & RawCopy.exe /FileNamePath:C:\pagefile.sys /OutputPath:E:\triage & RawCopy.exe /FileNamePath:C:\swapfile.sys /OutputPath:E:\triageObtienes E:\triage\pagefile.sys y swapfile.sys (Windows 8+): suelta ambos aquí. RawCopy ↗
¿Sin línea de comandos? FTK Imager
FileAdd Evidence ItemLogical DriveC:\[root]pagefile.sysExport Files…
Ejecuta FTK Imager como administrador, sigue la ruta de arriba y exporta a E:\triage. Lee el volumen en bruto, así que el bloqueo no importa.
KAPE
El target MemoryFiles copia pagefile.sys, swapfile.sys, hiberfil.sys y los minidumps de C: de una sola pasada. Ejecútalo como administrador.
kape.exe --tsource C: --tdest E:\triage --target MemoryFilesSuelta la carpeta E:\triage entera (los archivos quedan en E:\triage\C\): se detectan los archivos de paginación y se ignora el resto.
Velociraptor
En la interfaz de Velociraptor, crea un recolector sin conexión con el target MemoryFiles, sin cifrado, y ejecútalo como administrador en el equipo.
Server ArtifactsBuild offline collectorWindows.Triage.TargetsTargets: MemoryFilesLaunch
Suelta tal cual el Collection-….zip que genera: no hace falta descomprimirlo.
FTK Imager
FileAdd Evidence ItemImage File[root]pagefile.sysExport Files…
Funciona con imágenes E01, raw/dd y discos de VM (.vmdk, .vhdx). Exporta pagefile.sys y swapfile.sys desde la raíz del volumen de Windows.
Imagen montada en Windows
¿Montada en solo lectura como letra de unidad (Arsenal Image Mounter, Mount-VHD -ReadOnly…)? Nada bloquea el archivo, basta con robocopy. Sustituye F: por el volumen montado.
robocopy F:\ E:\triage pagefile.sys swapfile.sys /BDisco sin conexión en Linux
Disco tras un bloqueador de escritura o equipo arrancado desde un USB forense. Sustituye /dev/sdb2 por la partición de Windows (consulta lsblk).
sudo mkdir -p /mnt/win && sudo mount -t ntfs-3g -o ro /dev/sdb2 /mnt/win && mkdir -p ~/triage && cp /mnt/win/pagefile.sys /mnt/win/swapfile.sys ~/triage/The Sleuth Kit
Toma el sector de inicio de la partición de Windows (NTFS) en la salida de mmls y úsalo como <offset>.
mmls image.E01
icat -o <offset> image.E01 $(ifind -o <offset> -n /pagefile.sys image.E01) > pagefile.sys- Por defecto: raíz del volumen del sistema (todas las versiones de Windows)
C:\pagefile.sys - Windows 8+: memoria de trabajo de apps de la Store/UWP, mismo formato de páginas: suéltalo también
C:\swapfile.sys - Archivos de paginación adicionales en otros volúmenes, si están configurados (ver el valor del registro abajo)
D:\pagefile.sys - No se admite aquí: instantánea de RAM comprimida, descomprímela antes (Volatility, Hibr2Bin)
C:\hiberfil.sys
Listar todos los archivos de paginación configurados
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v PagingFilesUn valor vacío o ?:\pagefile.sys significa «administrado por el sistema» en C:. Cualquier otra unidad listada necesita su propia copia (p. ej. /FileNamePath:D:\pagefile.sys).
Comprobar el cifrado del archivo de paginación
fsutil behavior query EncryptPagingFileEncryptPagingFile = 1 significa que el contenido está cifrado con una clave que se pierde al apagar: las páginas parecerán datos aleatorios.
Suelta pagefile.sys y swapfile.sys juntos, o toda la carpeta de recopilación o el ZIP. Cada archivo de paginación encontrado aparece en la lista y puedes cambiar entre ellos.
Trampas habituales
- Copy, robocopy y las instantáneas no sirven en un equipo encendido: el archivo está bloqueado y las instantáneas de volumen (VSS) lo excluyen. Necesitas permisos de administrador y un lector NTFS en bruto (RawCopy, KAPE, FTK Imager, Velociraptor).
- Es volátil: recópialo antes de cualquier reinicio o apagado (Windows puede borrarlo al apagar) y escribe en un disco externo, nunca en
C:. - KAPE
MemoryFilessolo mira enC:\. Si el registro lista archivos de paginación en otros volúmenes, cópialos también.
- subidos — el archivo nunca sale de su equipo
- 0 B
- por bloque de lectura: caben pagefiles de 16 GB
- 16 MB
- clases de página: firmas + entropía
- 20
- familias de indicadores buscadas en cada cadena
- 10
Qué extrae este analizador de pagefile.sys de Windows
Tres capas de análisis operan mientras el archivo se transmite — carving por firma, extracción de cadenas y barridos regex de artefactos.
Carving por firma, página a página
Cada página de 4 KB se compara con PE (MZ + PE\0\0), colmena de registro (regf, hbin), registro MFT (FILE/BAAD), SQLite, EVTX (ElfFile/ElfChnk), Prefetch (SCCA), LNK, PNG/JPEG/PDF/ZIP, XML/JSON y páginas Xpress-Huffman.
Cadenas ASCII y UTF-16LE
Extracción con longitud mínima configurable en todo el archivo, con continuación a través de los límites de fragmentos de 16 MB. Cada cadena lleva su desplazamiento absoluto.
Barridos regex de artefactos
URLs, correos, direcciones IPv4 e IPv6, rutas de Windows (C:\…), rutas UNC, claves de registro (HKLM, HKCU…), GUIDs, indicadores de líneas de comando (cmd.exe, powershell, mshta, rundll32, certutil…) y heurísticas de credenciales (password=, tokens Bearer, formas JWT).
Repliegue estadístico
Las páginas sin firma se clasifican por entropía de Shannon, proporción de nulos y de imprimibles, ofreciendo cobertura completa — incluidas zonas de alta entropía probablemente cifradas.
Cómo analizar un pagefile.sys de Windows
- 1
Adquirir pagefile.sys
Toma una copia forense de pagefile.sys desde un sistema apagado, una imagen de disco o el volumen NTFS en bruto. Windows mantiene el archivo bloqueado mientras se ejecuta.
- 2
Abrir esta página en el navegador
No requiere instalación: el analizador es un programa Rust compilado a WebAssembly que se ejecuta totalmente en el cliente.
- 3
Soltar el archivo o examinarlo
Se admite cualquier tamaño. El navegador lee el archivo en fragmentos de 16 MB; nunca está completo en memoria.
- 4
Revisar las cuatro pestañas de resultados
Resumen muestra el histograma por tipo de página. Mapa de páginas lista cada página clasificada. Cadenas es una lista filtrable ASCII/UTF-16LE. Artefactos agrupa URLs, correos, IPs, rutas, claves de registro, GUIDs, líneas de comando e indicios de credenciales.
- 5
Exportar hallazgos
Descarga el informe completo en JSON, las cadenas en TXT o los artefactos en CSV para seguir trabajándolos en tu kit forense.
Aprende más sobre el forense de pagefile.sys
Lecturas de fondo sobre el formato, las técnicas que usa esta herramienta y qué se puede recuperar.
- Carving de fragmentos de colmenas de registro desde pagefile.sysCómo identificar bloques regf y hbin en un pagefile de Windows, qué puedes recuperar de ellos y cómo encadenar la salida con RegRipper / hivexsh / Registry Explorer de Eric Zimmerman.Leer el artículo →
- Detectar líneas de comando de malware en pagefile.sysComandos codificados de PowerShell, descargas con certutil, payloads de mshta, abuso de rundll32, squiblydoo con regsvr32 — los patrones de línea de comandos que aparecen en pagefile.sys de Windows y cómo encontrarlos.Leer el artículo →
- Cifrando pagefile.sys: el ajuste EncryptPagingFile y contra qué protegeWindows puede cifrar pagefile.sys con una clave efímera por arranque. Este post explica contra qué protege, contra qué no, cómo interactúa con BitLocker y qué implica para el análisis forense.Leer el artículo →
- Encontrar credenciales en pagefile.sysPor qué las credenciales acaban filtrándose al pagefile.sys de Windows, qué formas buscar — contraseñas, bearer tokens, JWTs, NTLM, Kerberos, tokens de CLI de la nube — y cómo las saca a la luz este parser.Leer el artículo →
- Cómo adquirir pagefile.sysMétodos prácticos de adquisición del pagefile.sys de Windows — en caliente, sin conexión, desde imágenes de disco y snapshots de VM, con los errores a evitar.Leer el artículo →
- Limitaciones del análisis de pagefile.sysQué se puede y qué no se puede recuperar de un pagefile de Windows — y por qué la compresión de memoria de Windows 10 cambia las cuentas.Leer el artículo →
- Cómo funciona realmente el forense de pagefile.sysCarving por firma, extracción de cadenas y análisis de entropía — las tres técnicas detrás de toda herramienta de análisis de pagefile.sys.Leer el artículo →
- pagefile.sys vs hiberfil.sys vs swapfile.sys: qué archivo de paginación de Windows analizarWindows tiene tres archivos relacionados con la paginación en la raíz del disco de sistema — pagefile.sys, hiberfil.sys y swapfile.sys. Cada uno contiene datos distintos e importa en distintos momentos de una investigación.Leer el artículo →
- Recuperar historial de navegador (URLs, cookies, autofill) desde pagefile.sysCómo Chrome, Edge y Firefox filtran datos de navegación al pagefile.sys de Windows — y cómo extraer URLs, cookies, búsquedas y valores de autocompletado desde una página carveada.Leer el artículo →
- ¿Deberías borrar o desactivar pagefile.sys?Desactivar pagefile.sys libera espacio en disco y puede ser un paso de bastionado de seguridad — pero también reduce el rendimiento y rompe los crash dumps. Aquí va una visión forense y operativa de cuándo (no) hacerlo.Leer el artículo →
- Volatility + pagefile.sys: emparejándolos para forense de memoria completoVolatility no puede parsear pagefile.sys por sí solo — pero emparejado con un dump de RAM, puede reconstruir el espacio de direcciones virtuales completo, incluyendo páginas paginadas. Aquí va el workflow.Leer el artículo →
- ¿Qué es pagefile.sys?Un recorrido rápido por el pagefile.sys de Windows — por qué existe, qué contiene y por qué los analistas forenses lo aprecian.Leer el artículo →
Herramientas relacionadas
Preguntas frecuentes
¿Qué es pagefile.sys?
pagefile.sys es el archivo que Windows usa como extensión en disco de la RAM física. Cuando hay poca memoria, el Memory Manager escribe páginas frías en este archivo.
¿Se sube mi archivo a algún servidor?
No. El analizador corre en tu navegador vía WebAssembly. Los bytes no salen del dispositivo: no hay procesamiento en servidor ni telemetría.
¿Qué puede extraer este parser de un pagefile?
Clasificación de páginas por bytes mágicos (imágenes PE, colmenas de registro, registros MFT, bases SQLite, chunks EVTX, Prefetch, LNK, PNG/JPEG/PDF/ZIP, páginas comprimidas Xpress-Huffman), cadenas ASCII y UTF-16LE con desplazamientos absolutos, y artefactos regex: URLs, correos, IPv4/IPv6, rutas de Windows, rutas UNC, claves de registro, GUIDs, indicadores de líneas de comando y heurísticas de credenciales.
¿Qué tamaño de archivo se admite?
Se admiten pagefiles de varios gigabytes (4 GB, 8 GB, 16 GB y más). El Web Worker lee en fragmentos de 16 MB vía File.slice() para que el navegador nunca tenga todo el archivo en memoria.
¿Funciona con la compresión de memoria de Windows 10 / 11?
Las páginas comprimidas por CompressionStoreManager (Xpress-Huffman, CompressionFormat 4) se detectan y marcan. La descompresión completa queda como trabajo futuro.
¿Se puede asociar una página a un proceso concreto?
No solo desde el pagefile. El mapeo página → (proceso, dirección virtual) vive en las page-table entries (PTE) en RAM — se necesita un dump de memoria (Volatility / MemProcFS). El análisis autónomo del pagefile aporta contenido, no contexto.
¿Diferencia entre pagefile.sys, swapfile.sys e hiberfil.sys?
pagefile.sys es el respaldo por defecto para memoria anónima paginada. swapfile.sys guarda los working sets de apps UWP. hiberfil.sys es una instantánea completa de la RAM al hibernar. Cada uno aporta artefactos distintos.
La memoria paginada, a la vista en minutos.
Suelte pagefile.sys, swapfile.sys o una colección de triaje completa. El análisis se ejecuta en WebAssembly en este equipo — cierre la pestaña y no queda nada.
Probar el analizador