Volatility — Analyser la mémoire RAM

Qu'est-ce que Volatility ?

Volatility est le framework de référence pour analyser des dumps mémoire (RAM). On peut y trouver : processus en cours, connexions réseau, mots de passe en mémoire, artefacts de malware, fichiers ouverts.

Commandes essentielles

vol.py -f mem.dmp windows.info          # identifier l OS
vol.py -f mem.dmp windows.pslist        # processus
vol.py -f mem.dmp windows.psscan        # scan complet
vol.py -f mem.dmp windows.cmdline       # commandes lancées
vol.py -f mem.dmp windows.netstat       # connexions réseau
vol.py -f mem.dmp windows.malfind       # code injecté
vol.py -f mem.dmp windows.hashdump      # hashes NTLM
vol.py -f mem.dmp windows.lsadump       # secrets LSA

Recherche ciblée

# Chercher des strings dans un processus
vol.py -f mem.dmp windows.strings --pid 1234 | grep -iE "flag|password"

# Screenshots
vol.py -f mem.dmp windows.screenshot --dump-dir ./screens/

# Fichiers ouverts
vol.py -f mem.dmp windows.filescan | grep -iE "\.txt|\.kdbx"