Hukommelsesindsamling og Volatility Framework

Linux Memory Extractor (LiME) er et kernemodul, der indsamler RAM og skriver det til en fil eller sender det over netværket. Brug netværksmetoden til live-håndtering af hændelser for at undgå at skrive dumpet til det potentielt kompromitterede system.

Volatility 3 er det førende framework til hukommelsesforensik. Det kræver en symboltabel til måloperativsystemets version for at kunne fortolke kernestrukturer. Vigtige kommandoer: windows.pslist, windows.pstree, windows.netstat, windows.dlllist, windows.malfind.

windows.pslist viser kørende processer. Sammenlign med kendte, gode baselines. Se efter: processer, der kører fra usædvanlige stier (%TEMP%, %APPDATA%), anomalier mellem overordnede og underordnede processer (winword.exe starter cmd.exe) samt processer uden en tilknyttet fil på disken (tegn på procesudhuling).

windows.netstat udtrækker TCP-forbindelser fra hukommelsen – herunder nyligt lukkede forbindelser, som ikke er synlige i det aktive netstat-output. Identificér C2-forbindelser: eksterne adresser, der slår op til kendte ondsindede IP-adresser, eller usædvanlige porte for almindelige procesnavne (svchost.exe til eksterne IP-adresser).

windows.dlllist viser indlæste DLL'er pr. proces. Sammenlign med lister over kendte, gode DLL'er. Usædvanlige DLL'er i explorer.exe eller svchost.exe, DLL'er uden sti eller DLL'er med mistænkelige navne i systemprocesser tyder på injektion.

windows.malfind identificerer hukommelsesområder med beskyttelsen PAGE_EXECUTE_READWRITE og uden en tilknyttet fil på disken – et klassisk tegn på procesinjektion eller shellcode. Det dumper det mistænkelige hukommelsesområde og viser de første bytes til analyse.

Kør strings mod hukommelsesdumpet eller specifikke procesdumps, der er udtrukket af Volatility. Strenge i hukommelsen indeholder ofte C2-URL'er, krypteringsnøgler, afkodede payloads og legitimationsoplysninger, som aldrig blev skrevet til disken under udførelsen.

windows.handles viser åbne filhåndtag, registreringsdatabasenøgler, mutexer og hændelser pr. proces. Mutexnavne er stærke indikatorer på kompromittering – når et mutex er identificeret i en hændelse, kan jagt efter det samme mutex i andre hukommelsesdumps finde relateret malware på tværs af miljøet.

Systematisk arbejdsgang: (1) Identifikation af profil, (2) optælling af processer og detektion af anomalier, (3) gennemgang af netværksforbindelser, (4) scanning efter DLL-injektion, (5) Malfind, (6) dump af mistænkelige processer, (7) udtrækning af strenge, (8) udtrækning og rapportering af indikatorer på kompromittering.

Hukommelsesforensik indsamler flygtige beviser, som er usynlige for diskanalyse. Ved at bruge WinPmem til indsamling og Volatility 3 til analyse – hvor processer, netværksforbindelser, injiceret kode og DLL-anomalier undersøges – afsløres filløs malware og angriberaktivitet, som ellers ikke ville blive opdaget.