Acquisition de la mémoire et cadre Volatility

La RAM contient les processus en cours d'exécution, les connexions réseau, les clés de chiffrement, les mots de passe, le code injecté et les artefacts de l'attaquant qui peuvent ne jamais être écrits sur le disque. Les logiciels malveillants sans fichier n'existent qu'en mémoire. L'analyse de la mémoire capture des preuves que l'analyse forensique des disques ne peut absolument pas détecter.

WinPmem est un outil gratuit et libre d'acquisition de mémoire pour Windows. Il crée un vidage brut de la mémoire que Volatility peut analyser. Exécutez-le avec les privilèges d'administrateur afin de capturer toute la mémoire physique, y compris les structures du noyau.

Linux Memory Extractor (LiME) est un module du noyau qui acquiert la RAM et l'écrit dans un fichier ou l'envoie sur le réseau. Utilisez la méthode réseau lors d'une réponse à incident en direct afin d'éviter d'écrire le vidage sur le système potentiellement compromis.

Volatility 3 est le principal environnement d'analyse forensique de la mémoire. Il nécessite une table de symboles correspondant à la version de l'OS ciblé pour interpréter les structures du noyau. Commandes essentielles : windows.pslist, windows.pstree, windows.netstat, windows.dlllist, windows.malfind.

windows.pslist répertorie les processus en cours d'exécution. Comparez-les à des références connues comme fiables. Recherchez notamment : les processus exécutés depuis des chemins inhabituels (%TEMP%, %APPDATA%), les anomalies entre processus parents et enfants (winword.exe qui lance cmd.exe) et les processus sans fichier associé sur le disque (indicateur de processus évidé).

windows.netstat extrait les connexions TCP de la mémoire, y compris les connexions récemment fermées qui ne sont plus visibles dans la sortie de netstat en direct. Identifiez les connexions C2 : des adresses distantes qui se résolvent vers des IP connues comme malveillantes ou des ports inhabituels pour des noms de processus courants (svchost.exe vers des IP externes).

windows.dlllist affiche les DLL chargées pour chaque processus. Comparez-les à des listes de DLL connues comme fiables. Des DLL inhabituelles dans explorer.exe ou svchost.exe, des DLL sans chemin ou des DLL portant des noms suspects dans les processus système indiquent une injection.

windows.malfind identifie les régions mémoire dotées de la protection PAGE_EXECUTE_READWRITE et dépourvues de fichier disque associé, ce qui constitue un signe classique d'injection de processus ou de code d'exploitation. Il extrait la région mémoire suspecte et affiche ses premiers octets pour analyse.

Exécutez strings sur le vidage mémoire ou sur les vidages de processus spécifiques extraits par Volatility. Les chaînes présentes en mémoire contiennent souvent des URL C2, des clés de chiffrement, des charges utiles décodées et des identifiants qui n'ont jamais été écrits sur le disque pendant l'exécution.

windows.handles affiche les descripteurs de fichiers ouverts, les clés de registre, les mutex et les événements associés à chaque processus. Les noms de mutex constituent de puissants IOC : une fois qu'un mutex est identifié lors d'un incident, rechercher ce même mutex dans d'autres vidages mémoire permet de trouver les logiciels malveillants associés dans l'ensemble de l'environnement.

Flux de travail systématique : (1) identification du profil, (2) énumération des processus et détection des anomalies, (3) examen des connexions réseau, (4) recherche d'injections de DLL, (5) Malfind, (6) extraction du processus suspect, (7) extraction des chaînes, (8) extraction et présentation des IOC.

Pourquoi les logiciels malveillants sans fichier sont-ils particulièrement difficiles à détecter avec les méthodes forensiques traditionnelles ?

L'analyse forensique de la mémoire capture des preuves volatiles invisibles lors de l'analyse des disques. L'acquisition avec WinPmem et l'analyse avec Volatility 3 — qui examinent les processus, les connexions réseau, le code injecté et les anomalies de DLL — révèlent les logiciels malveillants sans fichier et l'activité des attaquants qui seraient autrement passés inaperçus.