Akuisisi Memori dan Volatility Framework

RAM berisi proses yang sedang berjalan, koneksi jaringan, kunci enkripsi, kata sandi, kode yang disuntikkan, dan artefak penyerang yang mungkin tidak pernah tersimpan di disk. Perangkat lunak berbahaya tanpa berkas hanya ada di memori. Analisis memori menangkap bukti yang sama sekali tidak terlihat dalam forensik disk.

WinPmem adalah alat akuisisi memori gratis dan bersumber terbuka untuk Windows. Alat ini membuat salinan memori mentah yang dapat dianalisis oleh Volatility. Jalankan sebagai administrator untuk menangkap seluruh memori fisik, termasuk struktur kernel.

Linux Memory Extractor (LiME) adalah modul kernel yang mengakuisisi RAM dan menulisnya ke berkas atau mengirimkannya melalui jaringan. Gunakan metode jaringan untuk respons insiden langsung agar salinan memori tidak ditulis ke sistem yang mungkin telah disusupi.

Volatility 3 adalah kerangka kerja forensik memori terkemuka. Kerangka kerja ini memerlukan tabel simbol untuk versi OS target agar dapat menafsirkan struktur kernel. Perintah utama: windows.pslist, windows.pstree, windows.netstat, windows.dlllist, windows.malfind.

windows.pslist mencantumkan proses yang sedang berjalan. Bandingkan dengan garis dasar yang diketahui bersih. Cari: proses yang berjalan dari jalur tidak lazim (%TEMP%, %APPDATA%), kejanggalan induk-anak (winword.exe memunculkan cmd.exe), dan proses tanpa berkas disk terkait (indikator pengosongan proses).

windows.netstat mengekstrak koneksi TCP dari memori—termasuk koneksi yang baru saja ditutup dan tidak terlihat dalam keluaran netstat langsung. Identifikasi koneksi komando dan kendali: alamat asing yang mengarah ke IP yang diketahui berbahaya atau nomor porta yang tidak lazim untuk nama proses umum (svchost.exe ke IP eksternal).

windows.dlllist menampilkan DLL yang dimuat untuk setiap proses. Bandingkan dengan daftar DLL yang diketahui bersih. DLL yang tidak lazim dalam explorer.exe atau svchost.exe, DLL tanpa jalur, atau DLL dengan nama mencurigakan dalam proses sistem menunjukkan adanya injeksi.

windows.malfind mengidentifikasi wilayah memori dengan perlindungan PAGE_EXECUTE_READWRITE dan tanpa berkas disk pendukung—tanda klasik injeksi proses atau kode shell. Perintah ini menyalin wilayah memori yang mencurigakan dan menampilkan byte pertamanya untuk dianalisis.

Jalankan strings terhadap salinan memori atau salinan proses tertentu yang diekstrak oleh Volatility. String dalam memori sering berisi URL komando dan kendali, kunci enkripsi, muatan yang telah didekode, dan kredensial yang tidak pernah ditulis ke disk selama eksekusi.

windows.handles menampilkan referensi berkas terbuka, kunci registri, mutex, dan peristiwa untuk setiap proses. Nama mutex merupakan IOC yang kuat—setelah diidentifikasi dalam satu insiden, pencarian mutex yang sama pada salinan memori lain dapat menemukan perangkat lunak berbahaya terkait di seluruh lingkungan.

Alur kerja sistematis: (1) Identifikasi profil, (2) Enumerasi proses dan deteksi kejanggalan, (3) Peninjauan koneksi jaringan, (4) Pemindaian injeksi DLL, (5) Malfind, (6) Pengambilan salinan proses mencurigakan, (7) Ekstraksi string, (8) Ekstraksi dan pelaporan IOC.

Forensik memori menangkap bukti volatil yang tidak terlihat dalam analisis disk. Penggunaan WinPmem untuk akuisisi dan Volatility 3 untuk analisis—dengan memeriksa proses, koneksi jaringan, kode yang disuntikkan, dan kejanggalan DLL—mengungkap perangkat lunak berbahaya tanpa berkas serta aktivitas penyerang yang jika tidak demikian akan luput dari deteksi.