Volatility 3 : analyser une image mémoire

Pourquoi la mémoire

Certaines menaces ne touchent presque pas le disque. La mémoire vive montre ce qui s’exécutait au moment de la capture : processus, connexions réseau, lignes de commande, code injecté.

La version 3 de Volatility n’utilise plus de profils, contrairement à la 2.6 : elle est plus simple et plus rapide à mettre en œuvre.

Les tables de symboles

Volatility a besoin des symboles du noyau analysé (fichiers .json.xz) pour interpréter ses structures.

• Windows : les symboles manquants sont récupérés et mis en cache automatiquement.
• Linux et macOS : il faut fournir les symboles — archives officielles de la Volatility Foundation, à placer telles quelles dans volatility3/symbols/, ou génération avec dwarf2json.

Identifier le noyau de l’image :

# Sur la machine, si elle est accessible
uname -r

# Sinon, directement dans l'image
vol -f memoire.raw banners.Banners

Vérifier que les symboles conviennent (Linux) :

vol -f memoire.raw linux.check_symbols

Télécharger les archives de symboles à l’avance : elles sont volumineuses, et on n’a pas le temps le jour de l’incident.

Plugins de départ

vol -f memoire.raw windows.pstree
vol -f memoire.raw windows.netscan > connexions.txt

À retenir

La mémoire est volatile. Ne rien trouver ne signifie pas que rien ne s’est passé : la trace a pu disparaître avant la capture. On capture donc le plus tôt possible, avant tout redémarrage — et avant d’éteindre « pour être sûr ».