wshobson/memory-forensics

O que memory-forensics faz?

Domine técnicas de forense de memória, incluindo aquisição de memória, análise de processos e extração de artefatos usando Volatility e ferramentas relacionadas. Use ao analisar dumps de memória, investigar incidentes ou realizar análise de malware a partir de capturas de RAM.

Visão Geral

Este skill fornece um conjunto abrangente de técnicas e comandos para análise forense de memória volátil. Ele é projetado para ajudar analistas de segurança e respondedores de incidentes a examinar dumps de memória, identificar atividades suspeitas e extrair artefatos cruciais para investigações.

Ferramentas Suportadas

• Volatility 2/3: A principal estrutura para extração e análise de artefatos de memória.
• LiME: Para aquisição de memória em sistemas Linux.
• Rekall: Uma alternativa ao Volatility para certas plataformas.
• WinPmem/MemProcFS: Para captura de memória em Windows.

Comandos Comuns

Aquisição de Memória

# Linux (LiME)
sudo insmod lime.ko "path=/tmp/mem.lime format=lime"

# Windows (WinPmem)
winpmem.exe -o mem.raw

Análise com Volatility 2

# Identificar o perfil do sistema
volatility -f mem.raw imageinfo

# Listar processos
volatility -f mem.raw --profile=Win7SP1x64 pslist

# Listar conexões de rede
volatility -f mem.raw --profile=Win7SP1x64 netscan

# Extrair arquivos de um processo
volatility -f mem.raw --profile=Win7SP1x64 procdump -p <PID> -D /tmp/

Análise com Volatility 3

# Listar processos
volatility -f mem.raw windows.pslist.PsList

# Escanear por injeções de código
volatility -f mem.raw windows.malfind.Malfind

# Extrair hash de senhas (LSASS)
volatility -f mem.raw windows.lsadump.Lsadump

Técnicas Principais

1. Identificação de Processos Maliciosos: Liste todos os processos e identifique aqueles com nomes suspeitos, caminhos anômalos ou que estejam ocultos.
2. Análise de Conexões de Rede: Extraia conexões ativas e históricas para identificar comunicações com servidores de comando e controle (C2).
3. Extrações de Artefatos: Extraia binários, DLLs, drivers e outros artefatos da memória para análise offline.
4. Detecção de Rootkits: Use plugins como malfind e apihooks para detectar injeções de código e hooks.
5. Análise de Registro: Extraia hives do registro do Windows da memória para buscar chaves de persistência.

Casos de Uso

• Resposta a Incidentes: Analisar um dump de memória de uma máquina comprometida para determinar a extensão da violação.
• Análise de Malware: Examinar o comportamento de um malware que opera exclusivamente na memória.
• Perícia Digital: Coletar evidências de um sistema sem desligá-lo para preservar a memória volátil.

Limitações

• A aquisição de memória pode ser detectada por malwares avançados.
• A análise depende da disponibilidade de perfis de sistema compatíveis.
• Dumps de memória grandes podem exigir recursos computacionais significativos.

Referências

• Documentação do Volatility
• Guia de Forense de Memória
• LiME GitHub

---

Este skill foi projetado para ser usado em conjunto com ferramentas de linha de comando e scripts. Certifique-se de ter as permissões adequadas antes de adquirir ou analisar memória de sistemas alheios.