Analizar imágenes de memoria en busca de procesos, módulos e in…

Analizar imágenes de memoria en busca de procesos, módulos e indicadores de malware con Volatility 3

Inspecciona imágenes de RAM capturadas para enumerar procesos, módulos, manejadores y comportamientos sospechosos en memoria antes de escalar o entregar evidencias.

Requisitos previos

CLI de Volatility 3, entorno Python 3.8+, archivo de imagen de memoria compatible, paquetes de símbolos opcionales según el SO objetivo

Instalación

Usa la instalación de origen o la ruta de configuración que coincida con tu entorno:

• pip install --user -e ".[full]"
• pip install volatility3
• git clone https://github.com/volatilityfoundation/volatility3.git
• pip install -e ".[dev]"

Requisitos y advertencias del origen:

• Algunos comandos también requieren/aceptan otras opciones. Ejecuta vol -h para obtener más información sobre un comando específico.
• Volatility 3 requiere Python 3.8.0 o posterior y se publica en el registro PyPi.
• Importante: La primera ejecución de volatility con nuevos archivos de símbolos requerirá actualizar la caché. ¡Los paquetes de símbolos contienen una gran cantidad de archivos de símbolos y por lo tanto pueden tardar un tiempo en actualizarse!

Notas de uso básico o primeros pasos:

• Instala las dependencias requeridas:

• shell

• Consulta las opciones disponibles:

• Fuente: https://github.com/volatilityfoundation/volatility3

• Extraído de la documentación oficial: https://raw.githubusercontent.com/volatilityfoundation/volatility3/HEAD/README.md

Documentación

• https://volatility3.readthedocs.io/en/latest/

Fuente

• Agent Skill Exchange