Analisando Dumps de Memória com Volatility

Quando Usar

• A RAM de um sistema comprometido foi capturada e precisa de análise forense para artefatos de malware.
• Detectar malware sem arquivo que existe apenas na memória, sem artefatos persistentes no disco.
• Extrair chaves de criptografia, senhas ou configurações descriptografadas da memória de processos.
• Identificar injeção de processo, injeção de DLL ou esvaziamento de processo em um sistema comprometido.
• Analisar atividade de rootkit que se esconde de ferramentas forenses padrão baseadas em disco.

Não use para análise de imagem de disco; use Autopsy, FTK ou Sleuth Kit para forense de disco.

Pré-requisitos

• Volatility 3 instalado (pip install volatility3) com tabelas de símbolos para o SO alvo.
• Arquivo de dump de memória adquirido do sistema alvo (usando WinPmem, LiME ou DumpIt).
• Conhecimento da versão do SO de origem para seleção correta de perfil/símbolos.
• Espaço em disco suficiente (dumps de memória podem ter de 4 a 64 GB).
• Regras YARA para escanear a memória em busca de assinaturas de malware conhecidas.
• Utilitário Strings para extrair strings legíveis de regiões de memória.

Fluxo de Trabalho

Passo 1: Identificar o Perfil do Dump de Memória

Determine o sistema operacional e a versão a partir do dump de memória:

# Volatility 3: Automatic OS detection
vol3 -f memory.dmp windows.info

# List available plugins
vol3 -f memory.dmp --help

# If symbols are needed, download from:
# https://downloads.volatilityfoundation.org/volatility3/symbols/

# For Volatility 2 (legacy):
vol2 -f memory.dmp imageinfo
vol2 -f memory.dmp kdbgscan

Passo 2: Enumerar Processos em Execução

Liste todos os processos e identifique entradas suspeitas:

# List all processes
vol3 -f memory.dmp windows.pslist

# Process tree (parent-child relationships)
vol3 -f memory.dmp windows.pstree

# Scan for hidden/unlinked processes (rootkit detection)
vol3 -f memory.dmp windows.psscan

# Compare pslist vs psscan to find hidden processes
# Processes in psscan but not pslist are potentially hidden by rootkits

# Check for process hollowing
vol3 -f memory.dmp windows.pslist --dump
# Then verify the dumped EXE matches the expected binary on disk

Suspicious Process Indicators:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
- svchost.exe not spawned by services.exe (wrong parent)
- csrss.exe/lsass.exe with unusual parent process
- Multiple instances of lsass.exe (should be only one)
- Processes with misspelled names (scvhost.exe, lssas.exe)
- cmd.exe or powershell.exe spawned by WINWORD.EXE or browser
- Processes running from unusual paths (%TEMP%, %APPDATA%)
- Processes with no parent (orphaned - parent terminated)

Passo 3: Detectar Injeção de Código Malicioso

Escanear por código injetado e esvaziamento de processo:

# Detect injected code in processes (malfind)
vol3 -f memory.dmp windows.malfind

# Malfind looks for:
# - Memory regions with PAGE_EXECUTE_READWRITE protection
# - Memory regions containing PE headers (MZ/PE signature)
# - VAD (Virtual Address Descriptor) anomalies

# Dump injected memory regions for analysis
vol3 -f memory.dmp windows.malfind --dump --pid 2184

# List loaded DLLs per process
vol3 -f memory.dmp windows.dlllist --pid 2184

# Detect hollowed processes by comparing mapped image to disk
vol3 -f memory.dmp windows.hollowfind

# Scan for loaded drivers (potential rootkit drivers)
vol3 -f memory.dmp windows.driverscan

# List kernel modules
vol3 -f memory.dmp windows.modules

Passo 4: Analisar Conexões de Rede

Extrair conexões de rede ativas e fechadas:

# List all network connections (active and listening)
vol3 -f memory.dmp windows.netscan

# Output columns: Offset, Protocol, LocalAddr, LocalPort, ForeignAddr, ForeignPort, State, PID, Owner

# Filter for established connections to external IPs
vol3 -f memory.dmp windows.netscan | grep ESTABLISHED

# For older Windows (XP/2003):
vol3 -f memory.dmp windows.netstat

# Cross-reference PIDs with process list
# Suspicious: svchost.exe connected to external IP on non-standard port
# Suspicious: notepad.exe or calc.exe with network connections

Passo 5: Extrair Artefatos e Credenciais

Recuperar dados sensíveis da memória:

# Dump da memória do processo para um PID específico
vol3 -f memory.dmp windows.memmap --dump --pid 2184

# Extrair histórico de linha de comando
vol3 -f memory.dmp windows.cmdline

# Extrair variáveis de ambiente
vol3 -f memory.dmp windows.envars --pid 2184

# Análise do Registro (extrair chaves Run para persistência)
vol3 -f memory.dmp windows.registry.printkey \

…