Volatility
O que é o Volatility?
O Volatility é uma ferramenta poderosa de análise de memória RAM usada em investigações forenses digitais e desafios de CTF. Ele permite a extração de informações relevantes de arquivos de memória capturados (como dump de memória) para ajudar na identificação de ameaças, análise de malwares e resolução de desafios.
Instalação
Requisitos
Python 3.x (para o Volatility 3, que é a versão mais recente)
Passos para Instalação
git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3
pip install -r requirements.txt
python3 vol.pySe estiver instalado corretamente, você verá algo como:
Volatility 3 Framework
Usage: vol.py <volatility_options> <plugin> [plugin_options]Para ver todos os plugins disponíveis no seu Volatility 3:
python3 vol.py --helpFluxo básico de uso em desafios de CTF
Identifique o perfil do sistema
Determine o sistema operacional e a arquitetura.
python3 vol.py -f <arquivo> imageinfoListe os processos ativos
Ajuda a identificar processos suspeitos.
python3 vol.py -f <arquivo> pslistProcure conexões de rede
Identifique conexões estabelecidas e portas abertas.
python3 vol.py -f <arquivo> netscanDump de um processo específico
Para análise de possíveis malwares.
python3 vol.py -f <arquivo> memdump -p <PID>Extrair strings
Útil para encontrar pistas em CTFs.
python3 vol.py -f <arquivo> stringsAnalise módulos de kernel
Verifique alterações ou presença de rootkits.
python3 vol.py -f <arquivo> modscanAnalise histórico de navegação
Busque URLs e possíveis pistas.
python3 vol.py -f <arquivo> webhistListar handles de arquivos abertos
Lista todos os handles (manipuladores) do sistema, que podem incluir arquivos, processos, eventos, etc.
python3 vol.py -f <arquivo> handlesExtrair hashes do sistema
Extrai hashes de senhas armazenadas no sistema a partir da memória.
python3 vol.py -f <arquivo> hashdumpBusca por registros de clipboard
Exibe o conteúdo da área de transferência (clipboard), que pode conter informações copiadas pelo usuário.
python3 vol.py -f <arquivo> clipboardVisualizar histórico do cmd
Permite encontrar comandos executados a partir de linhas de comando.
python3 vol.py -f <arquivo> cmdscanSe você está usando o Volatility no Windows via o executável volatility.exe, os comandos são semelhantes aos usados no Linux. A diferença está na sintaxe do comando e no uso de caminhos específicos para Windows.
Ex:
.\volatility.exe -f <arquivo> --profile=Win7SP1x64 <comando>OBS: Lembre-se de substituir Win7SP1x64 pelo perfil apropriado para o sistema operacional do dump de memória.
Write-Up e Sites de Apoio
Write-Up
Sites de Apoio
Atualizado