Conduzindo Forense de Memória com Volatility

Quando Usar

• Um endpoint foi contido durante um incidente ativo e evidências voláteis precisam ser preservadas
• Alertas de EDR sugerem injeção de processos ou malware sem arquivo que existe apenas na memória
• Chaves de criptografia precisam ser recuperadas de um sistema infectado por ransomware antes do desligamento
• Roubo de credenciais (Mimikatz, dump do LSASS) é suspeito e evidências precisam ser confirmadas
• Um rootkit ou comprometimento em nível de kernel é suspeito e a análise baseada em disco é insuficiente

Não use para analisar imagens de disco ou artefatos do sistema de arquivos; use ferramentas de forense de disco (Autopsy, FTK) para essas tarefas.

Pré-requisitos

• Ferramenta de aquisição de memória implantada ou disponível: WinPmem, Magnet RAM Capture, DumpIt, ou AVML (Linux)
• Volatility 3 instalado com Python 3.8+ e tabelas de símbolos necessárias
• Armazenamento suficiente para dumps de memória (igual ao tamanho da RAM do sistema, tipicamente 8-64 GB)
• Regras YARA para detecção de malware na memória (base de assinaturas de Florian Roth, regras personalizadas)
• Linha de base de referência de processos e DLLs normais para a versão do SO em análise
• Documentação da cadeia de custódia para manuseio de evidências

Fluxo de Trabalho

Etapa 1: Adquirir Imagem de Memória

Capture a RAM do sistema alvo usando um método forensemente sólido:

Windows (WinPmem):

winpmem_mini_x64.exe output.raw

Windows (Magnet RAM Capture):

MagnetRAMCapture.exe
# GUI-based, select output path, generates .raw file

Windows (DumpIt):

DumpIt.exe
# Creates memory dump in current directory automatically

Linux (AVML - Acquire Volatile Memory for Linux):

./avml output.lime

Documente os metadados da aquisição:

Acquisition Record:
━━━━━━━━━━━━━━━━━
Target Host:      WKSTN-042
RAM Size:         16 GB
Dump File:        WKSTN-042_20251115_1445.raw
Dump Size:        16,843,612,160 bytes
SHA-256:          a4b3c2d1e5f6...
Acquisition Tool: WinPmem 4.0
Acquired By:      [Analyst Name]
Timestamp:        2025-11-15T14:45:00Z

Etapa 2: Identificar o Sistema Operacional e Perfil

Volatility 3 identifica automaticamente o SO, mas verifique:

# Get system information
vol -f WKSTN-042_20251115_1445.raw windows.info

# Output includes:
# OS: Windows 10 22H2 (Build 19045.3693)
# Kernel Base: 0xf8066c200000
# DTB: 0x1aa000
# Symbols: ntkrnlmp.pdb

Etapa 3: Analisar Processos em Execução

Examine a árvore de processos em busca de atividades suspeitas:

# List all running processes
vol -f memory.raw windows.pslist

# Show process tree (parent-child relationships)
vol -f memory.raw windows.pstree

# Scan for hidden/unlinked processes (rootkit detection)
vol -f memory.raw windows.psscan

# Compare pslist vs psscan to find hidden processes
# Processes in psscan but NOT in pslist may be hidden by rootkits

Principais indicadores de comprometimento na análise de processos:

• svchost.exe executando sem o parâmetro -k ou com um pai incorreto (deve ser services.exe)
• csrss.exe ou lsass.exe com processo pai anormal
• Processos com nomes escritos incorretamente (scvhost.exe, lssas.exe)
• Processos incomuns iniciados por outlook.exe, winword.exe, ou excel.exe
• Múltiplas instâncias de processos que deveriam ser únicos (lsass.exe, smss.exe)

Etapa 4: Investigar Conexões de Rede

Extraia conexões de rede ativas e recentemente fechadas:

# List all network connections
vol -f memory.raw windows.netscan

# Focus output fields:
# Offset    Proto  LocalAddr     LocalPort  ForeignAddr    ForeignPort  State     PID  Owner
# 0xe10...  TCPv4  10.1.5.42     49721     185.220.101.42  443         ESTAB     3847  update.exe

Cruze conexões suspeitas com a árvore de processos para identificar comunicações C2. Procure por:

• Conexões para IPs externos de processos inesperados
• Portas altas conectando-se às portas 443/80 de processos não navegadores
• Conexões de svchost.exe ou processos do sistema para IPs externos

Etapa 5: Detectar Injeção de Processos e Malware

Use malfind para identificar código injetado e malware residente na memória:

# Detectar código injetado em processos
vol -f memory.raw windows.malfind

# Saída mostra:
# PID  Process       Start      End        Tag  Protection  Hexdump/Disassembly
# 3847 explorer.exe  0x2a10000  0x2a14000  VadS PAGE_EXECUTE_READWRITE
# Cabeçalho MZ detectado - PE injetado

# Dump da memória do processo suspeito
vol -f memory.raw windows.memmap --pid 3847 --dump

# Listar DLLs carregadas por um processo suspeito
vol -f memory.raw windows.dlllist --pid 3847

# Escanear memória com regras YARA

…