Speicherimages auf Prozesse, Module und Malware-Indikatoren mit…

Speicherimages auf Prozesse, Module und Malware-Indikatoren mit Volatility 3 analysieren

Untersuche aufgenommene RAM-Images, um Prozesse, Module, Handles und verdächtiges In-Memory-Verhalten vor der Eskalation oder Übergabe von Beweisen zu identifizieren.

Voraussetzungen

Volatility 3 CLI, Python 3.8+ Umgebung, unterstützte Speicherbilddatei, optionale Symbol-Pakete in Abhängigkeit vom Zielbetriebssystem.

Installation

Verwende den offiziellen Installations- oder Setup-Pfad, der zu deiner Umgebung passt:

• pip install --user -e ".[full]"
• pip install volatility3
• git clone https://github.com/volatilityfoundation/volatility3.git
• pip install -e ".[dev]"

Anforderungen und Hinweise aus dem Upstream-Repository:

• Einige Plugins erfordern/akzeptieren weitere Optionen. Führe vol <plugin> -h aus, um mehr Informationen zu einem bestimmten Befehl zu erhalten.
• Volatility 3 benötigt Python 3.8.0 oder neuer und ist im PyPi-Registry veröffentlicht.
• Wichtig: Der erste Start von Volatility mit neuen Symbol-Dateien erfordert eine Aktualisierung des Caches. Die Symbol-Pakete enthalten eine große Anzahl von Symbol-Dateien; die Aktualisierung kann daher einige Zeit in Anspruch nehmen!

Grundlegende Nutzung oder Einstiegsnotizen:

• Installiere die erforderlichen Abhängigkeiten:

• shell

• Siehe verfügbare Optionen:

• Quelle: https://github.com/volatilityfoundation/volatility3

• Aus den offiziellen Docs extrahiert: https://raw.githubusercontent.com/volatilityfoundation/volatility3/HEAD/README.md

Dokumentation

• https://volatility3.readthedocs.io/en/latest/

Quelle

• Agent Skill Exchange