Aquisição de Memória e Framework Volatility

RAM contém processos em execução, conexões de rede, chaves de criptografia, senhas, código injetado e artefatos do invasor que talvez nunca cheguem ao disco. O software malicioso sem arquivo existe apenas na memória. A análise de memória captura evidências que a perícia de disco não detecta de forma alguma.

WinPmem é uma ferramenta gratuita e de código aberto para aquisição de memória no Windows. Ela cria um despejo bruto de memória que o Volatility pode analisar. Execute-a com privilégios de administrador para capturar toda a memória física, incluindo as estruturas do núcleo.

Linux Memory Extractor (LiME) é um módulo do núcleo que adquire RAM e a grava em um arquivo ou a envia pela rede. Use o método de rede para resposta a incidentes em tempo real, evitando gravar o despejo no sistema potencialmente comprometido.

Volatility 3 é a principal estrutura de perícia de memória. Ela requer uma tabela de símbolos correspondente à versão do OS alvo para interpretar as estruturas do núcleo. Comandos principais: windows.pslist, windows.pstree, windows.netstat, windows.dlllist, windows.malfind.

windows.pslist lista os processos em execução. Compare-os com referências de integridade conhecidas. Procure: processos executados a partir de caminhos incomuns (%TEMP%, %APPDATA%), anomalias entre processos pai e filho (winword.exe gerando cmd.exe) e processos sem um arquivo de disco associado (indicador de esvaziamento de processo).

windows.netstat extrai conexões TCP da memória, incluindo conexões fechadas recentemente que não aparecem na saída do netstat em tempo real. Identifique conexões de C2: endereços externos que resolvem para endereços IP conhecidos como maliciosos ou portas incomuns para nomes de processos comuns (svchost.exe para endereços IP externos).

windows.dlllist mostra os arquivos DLL carregados por processo. Compare-os com listas de arquivos DLL conhecidos como legítimos. Arquivos DLL incomuns em explorer.exe ou svchost.exe, arquivos DLL sem caminho ou arquivos DLL com nomes suspeitos em processos do sistema indicam injeção.

windows.malfind identifica regiões de memória com proteção PAGE_EXECUTE_READWRITE e sem um arquivo de disco associado, um sinal clássico de injeção de processo ou código de shell. Ele despeja a região de memória suspeita e mostra os primeiros bytes para análise.

Execute a ferramenta de extração de cadeias de caracteres no despejo de memória ou em despejos de processos específicos extraídos pelo Volatility. As cadeias de caracteres da memória frequentemente contêm URLs de C2, chaves de criptografia, cargas decodificadas e credenciais que nunca foram gravadas no disco durante a execução.

windows.handles mostra identificadores de arquivos abertos, chaves do registro, objetos de exclusão mútua e eventos por processo. Os nomes dos objetos de exclusão mútua são indicadores IOC fortes: depois que um deles é identificado em um incidente, procurar o mesmo nome em outros despejos de memória encontra software malicioso relacionado em todo o ambiente.

Fluxo de trabalho sistemático: (1) identificação do perfil, (2) enumeração de processos e detecção de anomalias, (3) análise das conexões de rede, (4) verificação de injeção de DLL, (5) Malfind, (6) despejo do processo suspeito, (7) extração de cadeias de caracteres, (8) extração e elaboração de relatórios de indicadores IOC.

Por que o software malicioso sem arquivo é particularmente desafiador para os métodos tradicionais de perícia?

A perícia de memória captura evidências voláteis invisíveis à análise de disco. O uso do WinPmem para aquisição e do Volatility 3 para análise, examinando processos, conexões de rede, código injetado e anomalias em arquivos DLL, revela software malicioso sem arquivo e atividade do invasor que, de outra forma, não seriam detectados.