Дампим SAM/SYSTEM через 7-Zip

Знакомая ситуация: вы на машине юзера, нужно достать хеши, но  reg save  или  copy  блокируются EDR, файлы заблокированы самой Windows, а антивирус палит известные утилиты.

Но на рабочих станциях часто установлен 7-Zip! И у него есть крутая недокументированная фича - прямое чтение диска (raw disk access).

А можно использовать и для DFIR извлекать MFT и т.д.

Чем проще и банальнее тем лучше : )