Extraindo Artefatos de Memória com Rekall

Quando Usar

• Ao realizar testes de segurança autorizados que envolvam a extração de artefatos de memória com o Rekall.
• Ao analisar amostras de malware ou artefatos de ataque em um ambiente controlado.
• Ao conduzir exercícios de equipe vermelha (red team) ou engajamentos de testes de penetração.
• Ao construir capacidades de detecção com base no entendimento de técnicas ofensivas.

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança.
• Acesso a um ambiente de teste ou laboratório para execução segura.
• Python 3.8+ com as dependências necessárias instaladas.
• Autorização apropriada para quaisquer atividades de teste.

Instruções

Use o Rekall para analisar dumps de memória em busca de sinais de comprometimento, incluindo injeção de processos, processos ocultos e conexões de rede suspeitas.

from rekall import session
from rekall import plugins

# Create a Rekall session with a memory image
s = session.Session(
    filename="/path/to/memory.raw",
    autodetect=["rsds"],
    profile_path=["https://github.com/google/rekall-profiles/raw/master"]
)

# List processes
for proc in s.plugins.pslist():
    print(proc)

# Detect injected code
for result in s.plugins.malfind():
    print(result)

Etapas chave de análise:

1. Carregar a imagem de memória e detectar o perfil automaticamente.
2. Executar pslist e psscan para encontrar processos ocultos.
3. Usar malfind para detectar código injetado/esvaziado em VADs de processos.
4. Examinar conexões de rede com netscan.
5. Extrair DLLs e drivers suspeitos com dlllist/modules.

Exemplos

from rekall import session
s = session.Session(filename="memory.raw")
# Compare pslist vs psscan for hidden processes
pslist_pids = set(p.pid for p in s.plugins.pslist())
psscan_pids = set(p.pid for p in s.plugins.psscan())
hidden = psscan_pids - pslist_pids
print(f"Hidden PIDs: {hidden}")