Acquisizione della memoria e Volatility Framework

La RAM contiene processi in esecuzione, connessioni di rete, chiavi di crittografia, password, codice iniettato e artefatti dell'attaccante che potrebbero non essere mai stati scritti sul disco. Il malware fileless esiste solo in memoria. L'analisi della memoria acquisisce prove che l'analisi forense dei dischi non rileva affatto.

WinPmem è uno strumento gratuito e open source per l'acquisizione della memoria in Windows. Crea un dump della memoria in formato raw che Volatility può analizzare. Lo esegua come amministratore per acquisire tutta la memoria fisica, comprese le strutture del kernel.

Linux Memory Extractor (LiME) è un modulo del kernel che acquisisce la RAM e la scrive in un file oppure la invia tramite rete. Utilizzi il metodo di rete per la risposta agli incidenti in tempo reale, così da evitare di scrivere il dump sul sistema potenzialmente compromesso.

Volatility 3 è il principale framework per l'analisi forense della memoria. Richiede una tabella dei simboli relativa alla versione del sistema operativo di destinazione per interpretare le strutture del kernel. Comandi chiave: windows.pslist, windows.pstree, windows.netstat, windows.dlllist, windows.malfind.

windows.pslist elenca i processi in esecuzione. Li confronti con baseline attendibili. Cerchi: processi eseguiti da percorsi insoliti (%TEMP%, %APPDATA%), anomalie nelle relazioni padre-figlio (winword.exe che genera cmd.exe) e processi privi di un file associato sul disco (indicatore di process hollowing).

windows.netstat estrae dalla memoria le connessioni TCP, comprese quelle chiuse di recente che non sono visibili nell'output di netstat in tempo reale. Identifichi le connessioni C2: indirizzi remoti che corrispondono a indirizzi IP noti come dannosi oppure porte insolite per nomi di processo comuni (svchost.exe verso indirizzi IP esterni).

windows.dlllist mostra le DLL caricate da ogni processo. Le confronti con elenchi di DLL attendibili. DLL insolite in explorer.exe o svchost.exe, DLL prive di percorso oppure DLL con nomi sospetti nei processi di sistema indicano un'iniezione.

windows.malfind identifica regioni di memoria con protezione PAGE_EXECUTE_READWRITE e prive di un file su disco sottostante: un segnale classico di process injection o shellcode. Esegue il dump della regione di memoria sospetta e mostra i primi byte per l'analisi.

Esegua strings sul dump della memoria o sui dump di processi specifici estratti da Volatility. Le stringhe presenti in memoria contengono spesso URL C2, chiavi di crittografia, payload decodificati e credenziali che non sono mai state scritte sul disco durante l'esecuzione.

windows.handles mostra gli handle aperti dei file, le chiavi del registro, i mutex e gli eventi per ogni processo. I nomi dei mutex sono IOC importanti: dopo averne identificato uno durante un incidente, cercare lo stesso mutex in altri dump della memoria consente di individuare malware correlato nell'intero ambiente.

Flusso di lavoro sistematico: (1) identificazione del profilo, (2) enumerazione dei processi e rilevamento delle anomalie, (3) esame delle connessioni di rete, (4) scansione delle iniezioni di DLL, (5) Malfind, (6) dump del processo sospetto, (7) estrazione delle stringhe, (8) estrazione e report degli IOC.

L'analisi forense della memoria acquisisce prove volatili invisibili all'analisi dei dischi. L'utilizzo di WinPmem per l'acquisizione e di Volatility 3 per l'analisi, esaminando processi, connessioni di rete, codice iniettato e anomalie nelle DLL, rivela il malware fileless e l'attività dell'attaccante che altrimenti non verrebbero rilevati.