Análisis forense de memoria RAM en Windows con WinPmem y Volatility

[admin]

Análisis forense de memoria RAM en Windows con WinPmem y Volatility

Con WinpMem obtendremos una imagen de memoria de Microsoft Windows, el proceso es valido para Windows XP, Windows Server, Windows 7, Windows 8, Windows 10, Windows Vista y Windows 11. Despues analizaremos la imagen con Volatility en un Kali Linux. Para entender un poco mas al respecto recomiendo ver con anterioridad este video

Volatility soporta el analisis forense de las siguientes imágenes de memoria:

Perfiles Windows:

* Windows XP de 32 bits Service Pack 2 y 3
* Paquete de servicio de servidor Windows 2003 de 32 bits 0, 1, 2
* Paquete de servicios Windows Vista de 32 bits 0, 1, 2
* Windows 2008 Server Service Pack 1, 2 de 32 bits (no hay SP0)
* Paquete de servicio 0, 1 de Windows 7 de 32 bits
* Windows 8, 8.1 y 8.1 Actualización 1 de 32 bits
* Windows 10 de 32 bits (soporte inicial)
* Windows XP de 64 bits Service Pack 1 y 2 (no hay SP0)
* Windows 2003 Server Service Pack 1 y 2 de 64 bits (no hay SP0)
* Paquete de servicio Windows Vista de 64 bits 0, 1, 2
* Windows 2008 Server Service Pack 1 y 2 de 64 bits (no hay SP0)
*Servidor Windows 2008 R2 de 64 bits Service Pack 0 y 1
* Windows 7 de 64 bits Service Pack 0 y 1
* Windows 8, 8.1 y 8.1 Actualización 1 de 64 bits
* Servidor Windows 2012 y 2012 R2 de 64 bits
* Windows 10 de 64 bits (incluido al menos 10.0.19041)
* Windows Server 2016 de 64 bits (incluido al menos 10.0.19041)


Linux:
* 32-bit Linux kernels 2.6.11 to 5.5
* 64-bit Linux kernels 2.6.11 to 5.5
* OpenSuSE, Ubuntu, Debian, CentOS, Fedora, Mandriva, etc

Mac OSX:
* 32-bit 10.5.x Leopard (the only 64-bit 10.5 is Server, which isn't supported)
* 32-bit 10.6.x Snow Leopard
* 64-bit 10.6.x Snow Leopard
* 32-bit 10.7.x Lion
* 64-bit 10.7.x Lion
* 64-bit 10.8.x Mountain Lion (there is no 32-bit version)
* 64-bit 10.9.x Mavericks (there is no 32-bit version)
* 64-bit 10.10.x Yosemite (there is no 32-bit version)
* 64-bit 10.11.x El Capitan (there is no 32-bit version)
* 64-bit 10.12.x Sierra (there is no 32-bit version)
* 64-bit 10.13.x High Sierra (there is no 32-bit version))
* 64-bit 10.14.x Mojave (there is no 32-bit version)
* 64-bit 10.15.x Catalina (there is no 32-bit version)


 
LINKS IMPORTANTES

https://www.eyehatemalwares.com/digital ... -printkey/
https://unminioncurioso.blogspot.com/20 ... ty_21.html
https://www.eyehatemalwares.com/digital ... y-modules/
https://github.com/Velocidex/WinPmem/releases
https://github.com/Velocidex/WinPmem
https://github.com/Yara-Rules/rules/tre ... ploit_kits
imagen de memoria con malware para praticar
https://andreafortuna.org/2018/07/16/fi ... ara-rules/

COMANDOS IMPORTANTES

Código: Seleccionar todo

winpmem_mini_x64_rc2.exe example.raw



vol.py -f example.raw imageinfo


vol.py --info | grep pslist

vol.py --profile=Win7SP1x64 -f example.raw pslist


vol.py --info | grep psscan

vol.py --profile=Win7SP1x64 -f example.raw psscan
vol.py --profile=WinXPSP2x86 -f stuxnet.vmem psscan



vol.py --info | grep dlllist

vol.py --profile=Win7SP1x64 -f example.raw dlllist
vol.py --profile=Win7SP1x64 -f example.raw --pid 4336 dlllist

vol.py --profile=WinXPSP2x86 -f stuxnet.vmem --pid 1032 dlllist




vol.py --info | grep modules

vol.py --profile=Win7SP1x64 -f example.raw modules



vol.py --info | grep modscan

vol.py --profile=Win7SP1x64 -f example.raw modscan| less



vol.py --info | grep printkey
vol.py --info | grep hivelist

vol.py --profile=Win7SP1x64 -f example.raw hivelist

vol.py --profile=Win7SP1x64 -f example.raw printkey -K "Microsoft\\Windows\\CurrentVersion\\Run"

vol.py --profile=Win7SP1x64 -f example.raw printkey -K "Software\\Microsoft\\Windows\\CurrentVersion\\Run"



vol.py --info | grep netscan

vol.py --profile=Win7SP1x64 -f example.raw netscan


vol.py --info | grep yarascan

vol.py --profile=Win7SP1x64 -f example.raw yarascan --yara-file EK_Zeus.yar

vol.py --profile=Win7SP1x64 -f example.raw yarascan --yara-file crypto_signatures.yar


vol.py --profile=Win7SP1x64 -f stuxnet.vmem yarascan --yara-file crypto_signatures.yar
vol.py --profile=Win7SP1x64 -f stuxnet.vmem yarascan --yara-file APT_Stuxnet.yar

VIDEO TUTORIAL



Temas relacionados: imagen de memoria de Windows, WinPmem, Volatility en Kali Linux, informática forense.