Pular para o conteúdo
Skillpedia
EN
Análise e planilhas35 mil · #6102

performing-memory-forensics-with-volatility3

Faz seu agente examinar a memória RAM de sistemas para achar processos, conexões e segredos. É importante para investigar crimes cibernéticos quando o disco não é suficiente.

O que ela faz

Esta ferramenta analisa a memória RAM de um computador para encontrar informações sobre programas em execução, conexões de rede, senhas salvas e possíveis malwares. É útil quando você suspeita que um computador foi invadido e a análise do disco não é suficiente.

Quando usar

  • ✓Quando você suspeita que um computador foi invadido.
  • ✓Para investigar atividades suspeitas em um sistema.
  • ✓Para recuperar informações importantes que podem ter sido perdidas ou ocultadas.

Exemplo do que pedir para a IA

“Analise a memória RAM deste computador para encontrar processos suspeitos e conexões de rede.”

Quer saber mais? Abra as seções abaixo.

Como usar

O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.

Link da skill

https://github.com/mukul975/Anthropic-Cybersecurity-Skills/blob/main/skills/performing-memory-forensics-with-volatility3/SKILL.md

Mensagem pronta para colar

Use esta skill para me ajudar: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/blob/main/skills/performing-memory-forensics-with-volatility3/SKILL.md Leia o arquivo SKILL.md desse link e siga as instruções dele na minha tarefa.
Ver no GitHub ↗Arquivo bruto
Como funciona

A ferramenta usa um programa chamado Volatility 3 para examinar um arquivo que contém uma cópia exata da memória RAM do computador. Ela procura por padrões conhecidos de atividades maliciosas ou informações importantes.

Instalação

Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.

No terminal (Claude Code, Codex, Cursor), na pasta do projeto:

npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill performing-memory-forensics-with-volatility3

Ou baixe só o arquivo:

curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/performing-memory-forensics-with-volatility3/SKILL.md -o SKILL.md
Conteúdo técnico (SKILL.md)

Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.

Realizando Forense de Memória com Volatility 3

Quando Usar

  • Ao analisar um dump de RAM de um sistema comprometido ou suspeito
  • Durante a resposta a incidentes para identificar malware em execução, código injetado ou rootkits
  • Quando você precisa extrair credenciais, chaves de criptografia ou conexões de rede da memória
  • Para detectar "process hollowing", injeção de DLL ou processos ocultos
  • Quando a forense baseada em disco sozinha é insuficiente e os dados voláteis são críticos

Pré-requisitos

  • Python 3.7+ instalado
  • Framework Volatility 3 instalado (pip install volatility3)
  • Dump de memória em formato raw, ELF ou crash dump
  • Tabelas de símbolos apropriadas (arquivos ISF) para a versão do SO alvo
  • Espaço em disco suficiente para a saída da análise (2-3x o tamanho do dump de memória)
  • Opcional: Regras YARA para varredura de malware na memória

Fluxo de Trabalho

Passo 1: Adquirir o Dump de Memória e Instalar o Volatility 3

# Install Volatility 3
pip install volatility3

# Or install from source for latest features
git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3
pip install -e .

# Download Windows symbol tables (ISF packs)
# Place in volatility3/symbols/ directory
wget https://downloads.volatilityfoundation.org/volatility3/symbols/windows.zip
unzip windows.zip -d /opt/volatility3/volatility3/symbols/

# Download Linux and Mac symbol packs
wget https://downloads.volatilityfoundation.org/volatility3/symbols/linux.zip
wget https://downloads.volatilityfoundation.org/volatility3/symbols/mac.zip

# Memory acquisition tools (for live systems):
# Windows: winpmem, DumpIt, FTK Imager
# Linux: LiME (Linux Memory Extractor)
sudo insmod lime-$(uname -r).ko "path=/cases/memory/linux_mem.lime format=lime"

# Verify the memory dump
file /cases/case-2024-001/memory/memory.raw
ls -lh /cases/case-2024-001/memory/memory.raw

Passo 2: Identificar o Perfil do Sistema Operacional

# Run banners plugin to identify the OS
vol -f /cases/case-2024-001/memory/memory.raw banners

# For Windows, identify the OS version
vol -f /cases/case-2024-001/memory/memory.raw windows.info

# Output example:
# Variable        Value
# Kernel Base     0xf8047e200000
# DTB             0x1ad000
# Symbols         ntkrnlmp.pdb/GUID
# Is64Bit         True
# IsPAE           False
# primary layer   Intel32e
# KdVersionBlock  0xf8047ee232c0
# Major/Minor     15.19041
# Machine Type    34404
# KeNumberProcessors 4
# SystemTime      2024-01-18 14:32:15 UTC
# NtBuildLab      19041.1.amd64fre.vb_release.191206-1406
# NtProductType   NtProductWinNt
# NtSystemRoot    C:\WINDOWS
# PE MajorOperatingSystemVersion 10
# PE MinorOperatingSystemVersion 0

# For Linux memory dumps
vol -f /cases/case-2024-001/memory/linux_mem.lime linux.info

Passo 3: Enumerar Processos e Detectar Anomalias

# List all running processes
vol -f /cases/case-2024-001/memory/memory.raw windows.pslist | tee /cases/case-2024-001/analysis/pslist.txt

# Show process tree (parent-child relationships)
vol -f /cases/case-2024-001/memory/memory.raw windows.pstree | tee /cases/case-2024-001/analysis/pstree.txt

# Detect hidden processes using cross-view analysis
vol -f /cases/case-2024-001/memory/memory.raw windows.psscan | tee /cases/case-2024-001/analysis/psscan.txt

# Compare pslist vs psscan to find hidden processes
diff <(vol -f memory.raw windows.pslist | awk '{print $1}' | sort) \
     <(vol -f memory.raw windows.psscan | awk '{print $1}' | sort)

# List DLLs loaded by a suspicious process (PID 4532)
vol -f /cases/case-2024-001/memory/memory.raw windows.dlllist --pid 4532

# Check for process hollowing and injection
vol -f /cases/case-2024-001/memory/memory.raw windows.malfind | tee /cases/case-2024-001/analysis/malfind.txt

# Dump suspicious process memory for further analysis
vol -f /cases/case-2024-001/memory/memory.raw windows.memmap --pid 4532 --dump \
   -o /cases/case-2024-001/analysis/dumps/

Passo 4: Analisar Conexões de Rede e Registro

# Listar conexões de rede ativas
vol -f /cases/case-2024-001/memory/memory.raw windows.netscan | tee /cases/case-2024-001/analysis/netscan.txt

# Filtrar por conexões estabelecidas
vol -f /cases/case-2024-001/memory/memory.raw windows.netscan | grep ESTABLISHED

# Filtrar por portas de escuta
vol -f /cases/case-2024-001/memory/memory.raw windows.netscan | grep LISTENING

# Extrair conexões de rede com mapeamento de processos
vol -f /cases/case-2024-001/memory/memory.raw windows.netstat | tee /cases/case-2024-001/analysis/netstat.txt


…
Perguntas frequentes

O que é 'memória volátil'?

Memória volátil é a informação que um computador armazena temporariamente enquanto está ligado, como os programas que estão rodando. Essa informação é perdida quando o computador é desligado.

O que é um 'dump de memória'?

Um 'dump de memória' é uma cópia exata de tudo o que estava na memória RAM do computador em um determinado momento. É como tirar uma 'foto' da memória.

Preciso ser um especialista para usar isso?

A ferramenta em si requer conhecimento técnico para ser instalada e configurada, mas o objetivo é que um especialista use essa ferramenta para responder perguntas simples sobre a memória.

Detalhes

Descrição original do autor

Analyze volatile memory (RAM) dumps using the Volatility 3 framework to extract running processes, network connections, loaded modules, credentials, and encryption keys, and to detect process hollowing, DLL injection, or hidden processes/rootkits. Use during incident response on a compromised or suspect system when disk-based forensics alone is insufficient and volatile evidence of malware or intr

repo: mukul975/Anthropic-Cybersecurity-Skills

Popularidade

Estrelas no GitHub
35 mil
Posição no ranking
#6102
Licença
Apache-2.0
Atualizada em
31/08/2026

Essa skill é útil?

0

Entre para votar.

Comentários

  • …

Mais skills deste repositório

APIs e servidores (backend)35 mil

abusing-dpapi-for-credential-access

Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.

mukul975/Anthropic-Cybersecurity-Skills

Escrita35 mil

abusing-shadow-credentials-for-privesc

Ensina seu agente de IA a escrever textos claros e bem estruturados.

mukul975/Anthropic-Cybersecurity-Skills

Diversos35 mil

achieving-cmmc-level-2-compliance

Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.

mukul975/Anthropic-Cybersecurity-Skills

Diversos35 mil

acquiring-disk-image-with-dd-and-dcfldd

Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.

mukul975/Anthropic-Cybersecurity-Skills

Skills parecidas

Análise e planilhas280 mil

data-throughput-accelerator

Faz seu agente acelerar a movimentação de grandes volumes de dados. Ele encontra gargalos e garante que os dados sejam transferidos de forma rápida e correta.

affaan-m/ECC

Análise e planilhas280 mil

inventory-demand-planning

Ajuda seu agente a prever a demanda de produtos em lojas. Ele otimiza o estoque e planeja quando fazer promoções para vender mais.

affaan-m/ECC

Análise e planilhas280 mil

market-research

Ajuda seu agente a realizar pesquisas de mercado e análises competitivas. Fornece resumos com atribuição de fontes.

affaan-m/ECC