memory-forensics
Master memory forensics techniques including memory acquisition, process analysis, and artifact extraction using Volatility and related tools. Use when analyzing memory dumps, investigating incidents, or performing malware analysis from RAM captures.
Installation
Pick a client and clone the repository into its skills directory.
Installation
About this skill
Master memory forensics techniques including memory acquisition, process analysis, and artifact extraction using Volatility and related tools. Use when analyzing memory dumps, investigating incidents, or performing malware analysis from RAM captures.
How to use
Zainstaluj Volatility 3 za pomocą pip install volatility3, a następnie pobierz tabele symboli dla systemu Windows ze strony https://downloads.volatilityfoundation.org/volatility3/symbols/ i umieść je w dostępnym katalogu.
Pozyskaj zrzut pamięci RAM z systemu, którego chcesz analizować. Na Windows użyj WinPmem (winpmem_mini_x64.exe memory.raw), na Linux załaduj moduł LiME (sudo insmod lime.ko "path=/tmp/memory.lime format=lime"), a na macOS uruchom osxpmem (sudo ./osxpmem -o memory.raw). W przypadku maszyn wirtualnych skopiuj plik .vmem (VMware) lub użyj vboxmanage debugvm dla VirtualBox.
Uruchom analizę listy procesów poleceniem vol -f memory.raw windows.pslist, aby zobaczyć wszystkie procesy działające w momencie pozyskania zrzutu. To podstawowy krok każdego śledztwa.
Zbadaj hierarchię procesów za pomocą vol -f memory.raw windows.pstree, aby zrozumieć relacje rodzic-dziecko między procesami i zidentyfikować podejrzane łańcuchy uruchamiania.
Wyszukaj ukryte procesy, które mogą być pominięte przez standardowe listy, używając vol -f memory.raw windows.psscan. To polecenie skanuje pamięć w poszukiwaniu struktur procesów, nawet jeśli zostały usunięte ze standardowych list.
W razie potrzeby wykonaj zrzut pamięci konkretnego procesu do pliku w celu dalszej analizy lub wyodrębnienia złośliwego kodu.