TrueCrack

Overview

TrueCrack is a brute-force password cracker purpose-built for TrueCrypt volumes, using CUDA to run the PBKDF2 key-derivation attempts on the GPU for a substantial speedup over CPU-only cracking. It’s used in forensics/IR when recovering the master password for a seized or acquired TrueCrypt-encrypted container is part of the investigation.

Common Usage

Dictionary attack against a TrueCrypt volume

truecrack -t volume.tc -w wordlist.txt

Charset-based brute force (fully custom keyspace)

truecrack -t volume.tc -b -c "abcdefghijklmnopqrstuvwxyz0123456789" -m 8

Specify hash algorithm explicitly (default tries all supported)

truecrack -t volume.tc -w wordlist.txt -a whirlpool

Verbose/status output during a long-running attack

truecrack -t volume.tc -w wordlist.txt -v

Forensic Workflow

1. Acquire a forensic image of the encrypted container

dd if=/dev/sdb of=evidence.tc bs=4M

2. Run a dictionary attack with a case-relevant wordlist first

truecrack -t evidence.tc -w /usr/share/wordlists/rockyou.txt

3. Escalate to charset brute force only if dictionary attack fails

truecrack -t evidence.tc -b -c "0123456789" -m 6

Tips

• Requires an NVIDIA GPU with CUDA support to get meaningful speed — CPU fallback exists but is far slower.
• Dictionary attacks with a case-tailored wordlist (names, dates, leaked passwords) succeed far more often than blind charset brute force.
• Only supports classic TrueCrypt containers; VeraCrypt volumes (which use stronger/higher-iteration KDFs) are not supported by this tool.

truecrack [options]

  -t, --truecrypt=FILE     TrueCrypt volume file to attack
  -w, --wordlist=FILE      Dictionary file for wordlist attack
  -b, --bruteforce         Enable charset brute-force mode
  -c, --charset=STRING     Character set for brute-force mode
  -m, --max=N               Maximum password length for brute-force
  -a, --algorithm=NAME     Hash algorithm (ripemd160, sha512, whirlpool)
  -v, --verbose             Verbose status output
  -h, --help                Show help

Vue d’ensemble

TrueCrack est un cracker de mots de passe par brute-force spécialement conçu pour les volumes TrueCrypt, utilisant CUDA pour exécuter les tentatives de dérivation de clé PBKDF2 sur le GPU, avec un gain de vitesse substantiel par rapport au cracking sur CPU seul. Il est utilisé en forensics/IR quand la récupération du mot de passe maître d’un conteneur TrueCrypt saisi ou acquis fait partie de l’investigation.

Utilisation courante

# Attaque par dictionnaire contre un volume TrueCrypt
truecrack -t volume.tc -w wordlist.txt

# Brute-force par charset (espace de clés entièrement personnalisé)
truecrack -t volume.tc -b -c "abcdefghijklmnopqrstuvwxyz0123456789" -m 8

# Spécifier explicitement l'algorithme de hash (par défaut, tous les algorithmes supportés sont essayés)
truecrack -t volume.tc -w wordlist.txt -a whirlpool

# Sortie verbeuse/statut pendant une attaque longue
truecrack -t volume.tc -w wordlist.txt -v

Workflow forensique

# 1. Acquérir une image forensique du conteneur chiffré
dd if=/dev/sdb of=evidence.tc bs=4M

# 2. Lancer une attaque par dictionnaire avec une wordlist pertinente pour le dossier
truecrack -t evidence.tc -w /usr/share/wordlists/rockyou.txt

# 3. Escalader vers un brute-force par charset seulement si l'attaque par dictionnaire échoue
truecrack -t evidence.tc -b -c "0123456789" -m 6

Conseils

• Nécessite un GPU NVIDIA avec support CUDA pour obtenir une vitesse significative : un fallback CPU existe mais est bien plus lent.
• Les attaques par dictionnaire avec une wordlist adaptée au dossier (noms, dates, mots de passe fuités) réussissent bien plus souvent qu’un brute-force par charset aveugle.
• Ne supporte que les conteneurs TrueCrypt classiques ; les volumes VeraCrypt (qui utilisent des KDF plus robustes/à plus d’itérations) ne sont pas supportés par cet outil.

truecrack [options]

  -t, --truecrypt=FILE     TrueCrypt volume file to attack
  -w, --wordlist=FILE      Dictionary file for wordlist attack
  -b, --bruteforce         Enable charset brute-force mode
  -c, --charset=STRING     Character set for brute-force mode
  -m, --max=N               Maximum password length for brute-force
  -a, --algorithm=NAME     Hash algorithm (ripemd160, sha512, whirlpool)
  -v, --verbose             Verbose status output
  -h, --help                Show help