analyzing-memory-dumps-with-volatility

使用 Volatility 分析内存转储

适用场景

• 被攻陷系统的 RAM 已被捕获，需要对恶意软件工件进行取证分析
• 检测仅存在于内存中、没有持久化磁盘工件的无文件恶意软件
• 从进程内存中提取加密密钥、密码或解密后的配置
• 识别被攻陷系统中的进程注入、DLL 注入或进程空洞化
• 分析隐藏在标准磁盘取证工具之外的 Rootkit 活动

不适用于磁盘镜像分析；请使用 Autopsy、FTK 或 Sleuth Kit 进行磁盘取证。

前置条件

• Volatility 3 已安装（pip install volatility3），并带有目标操作系统的符号表
• 从目标系统获取的内存转储文件（使用 WinPmem、LiME 或 DumpIt）
• 了解源操作系统版本，用于正确选择配置文件/符号
• 足够的磁盘空间（内存转储可达 4-64 GB）
• 用于扫描内存中已知恶意软件签名的 YARA 规则
• Strings 工具，用于从内存区域提取可读字符串

工作流程

步骤 1：识别内存转储配置文件

从内存转储中确定操作系统和版本：

# Volatility 3：自动操作系统检测
vol3 -f memory.dmp windows.info

# 列出可用插件
vol3 -f memory.dmp --help

# 如果需要符号表，从以下地址下载：
# https://downloads.volatilityfoundation.org/volatility3/symbols/

# 对于 Volatility 2（旧版）：
vol2 -f memory.dmp imageinfo
vol2 -f memory.dmp kdbgscan

步骤 2：枚举运行中的进程

列出所有进程并识别可疑条目：

# 列出所有进程
vol3 -f memory.dmp windows.pslist

# 进程树（父子进程关系）
vol3 -f memory.dmp windows.pstree

# 扫描隐藏/未链接的进程（Rootkit 检测）
vol3 -f memory.dmp windows.psscan

# 比较 pslist 和 psscan 以查找隐藏进程
# 在 psscan 中但不在 pslist 中的进程可能被 Rootkit 隐藏

# 检查进程空洞化
vol3 -f memory.dmp windows.pslist --dump
# 然后验证转储的 EXE 是否与磁盘上的预期二进制文件匹配

可疑进程指标：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
- svchost.exe 不是由 services.exe 启动（父进程错误）
- csrss.exe/lsass.exe 具有异常的父进程
- lsass.exe 有多个实例（应该只有一个）
- 进程名称拼写错误（scvhost.exe、lssas.exe）
- cmd.exe 或 powershell.exe 由 WINWORD.EXE 或浏览器启动
- 从异常路径运行的进程（%TEMP%、%APPDATA%）
- 没有父进程的进程（孤立进程 - 父进程已终止）

步骤 3：检测恶意代码注入

扫描注入的代码和进程空洞化：

# 检测进程中的注入代码（malfind）
vol3 -f memory.dmp windows.malfind

# malfind 查找：
# - 具有 PAGE_EXECUTE_READWRITE 保护的内存区域
# - 包含 PE 头部（MZ/PE 签名）的内存区域
# - VAD（虚拟地址描述符）异常

# 转储注入的内存区域进行分析
vol3 -f memory.dmp windows.malfind --dump --pid 2184

# 列出每个进程加载的 DLL
vol3 -f memory.dmp windows.dlllist --pid 2184

# 通过比较映射镜像与磁盘检测空洞化进程
vol3 -f memory.dmp windows.hollowfind

# 扫描加载的驱动程序（潜在的 Rootkit 驱动程序）
vol3 -f memory.dmp windows.driverscan

# 列出内核模块
vol3 -f memory.dmp windows.modules

步骤 4：分析网络连接

提取活动和已关闭的网络连接：

# 列出所有网络连接（活动和监听）
vol3 -f memory.dmp windows.netscan

# 输出列：偏移量、协议、本地地址、本地端口、外部地址、外部端口、状态、PID、所有者

# 过滤到外部 IP 的已建立连接
vol3 -f memory.dmp windows.netscan | grep ESTABLISHED

# 对于旧版 Windows（XP/2003）：
vol3 -f memory.dmp windows.netstat

# 将 PID 与进程列表交叉验证
# 可疑：svchost.exe 通过非标准端口连接到外部 IP
# 可疑：notepad.exe 或 calc.exe 有网络连接