Fiche mémo

Volatility 3

Les plugins essentiels pour analyser une image mémoire Windows. La démarche complète est dans Forensique (DFIR).

CDSAForensique

Syntaxe

# Forme générale
vol -f memoire.raw <plugin> [options]
# Exemple : arbre des processus
vol -f memoire.raw windows.pstree
# Sortie CSV pour Timeline Explorer ou un tableur
vol -f memoire.raw -r csv windows.pslist > pslist.csv

Volatility 2 ou 3 ?La version 3 détecte le système automatiquement : plus besoin de l'option --profile de la version 2. Les plugins sont préfixés par le système : windows., linux., mac.

Plugins Windows

Plugin	Usage
windows.info	Version du système et informations sur l'image
windows.pslist	Processus actifs (liste chaînée du noyau)
windows.psscan	Processus retrouvés par balayage, y compris cachés ou terminés
windows.pstree	Arborescence parent / enfant des processus
windows.cmdline	Ligne de commande de chaque processus
windows.dlllist	DLL chargées par chaque processus
windows.handles	Handles ouverts (fichiers, clés, mutex…)
windows.netscan	Connexions et ports réseau
windows.malfind	Zones mémoire exécutables suspectes (code injecté)
windows.filescan	Objets fichiers présents en mémoire
windows.dumpfiles	Extraire des fichiers de la mémoire
windows.registry.hivelist	Ruches de registre chargées
windows.registry.printkey	Lire une clé de registre
windows.svcscan	Services Windows
windows.hashdump	Hash des comptes locaux

Ordre d'analyse conseillé

Identifierwindows.info : quel système, quelle date de capture.
Processuspslist, psscan, pstree : comparer, chercher l'anormal.
Contextecmdline, dlllist : que fait chaque processus suspect ?
Réseaunetscan : avec qui communique-t-il ?
Injectionmalfind : du code a-t-il été injecté ?
Extrairedumpfiles, puis hash et analyse de l'échantillon.

Signes d'alerteUn processus présent dans psscan mais absent de pslist (caché), un nom presque correct (scvhost.exe), un svchost.exe dont le parent n'est pas services.exe, un processus système lancé depuis un dossier inhabituel.