Analyse Mémoire Forensique : Volatility pour Malware

L'analyse mémoire fournit une photographie instantanée de l'état du système compromis au moment de l'acquisition : processus en cours d'exécution avec leurs arbres de filiation, connexions réseau actives avec les adresses IP de C2, DLL chargées en mémoire incluant celles injectées dynamiquement, et artefacts du noyau incluant les hooks et les drivers cachés. Cette richesse d'information fait de l'analyse mémoire le complément indispensable de l'analyse de disque pour une investigation forensique complète. La détection des malwares fileless repose principalement sur ces techniques. L'analyse dynamique en sandbox peut être complétée par l'acquisition mémoire pour capturer les payloads déchiffrés. Les rootkits kernel-mode sont spécifiquement détectés par l'analyse des structures noyau en mémoire. La rétro-ingénierie des frameworks C2 utilise les dumps mémoire pour extraire la configuration beacon déchiffrée. La documentation de Volatility 3 et les cours SANS FOR508 sont les ressources de référence pour cette discipline.

Acquisition mémoire et triage initial

L'acquisition du dump mémoire doit être la première action de l'investigation forensique pour préserver les artefacts volatiles avant toute interaction avec le système qui pourrait modifier l'état de la mémoire. Sur Windows, WinPMEM (développé par Velocidex/Rekall) et DumpIt (Magnet Forensics) acquièrent la mémoire physique complète en format RAW, AFF4 ou crashdump. Sur Linux, LiME (Linux Memory Extractor) produit un dump au format lime ou padded. L'acquisition doit être effectuée depuis un support amovible de confiance (USB bootable) pour minimiser la contamination du dump par les processus de l'outil d'acquisition lui-même.

Le triage initial avec Volatility 3 identifie rapidement les anomalies évidentes. Le plugin windows.pslist liste les processus actifs avec leur PID, PPID, date de création et nombre de threads. Le plugin windows.pstree affiche l'arbre de filiation des processus pour identifier les processus orphelins ou les filiations anormales (svchost.exe qui n'est pas enfant de services.exe, cmd.exe lancé par un processus Word). Le plugin windows.netscan liste les connexions réseau actives et récentes avec les adresses IP, ports et processus associés, révélant immédiatement les communications C2 suspectes.

Détection d'injection de processus

L'injection de processus est la technique la plus utilisée par les malwares pour s'exécuter dans le contexte d'un processus légitime (svchost.exe, explorer.exe, lsass.exe) afin d'échapper à la détection. Le plugin windows.malfind de Volatility détecte les régions mémoire avec des permissions RWX (Read-Write-Execute) dans les processus, une combinaison suspecte car les sections de code légitimes sont typiquement RX (Read-Execute) et les sections de données RW (Read-Write). Les régions RWX contiennent potentiellement du shellcode ou des DLL injectées dynamiquement qui n'apparaissent pas dans la liste des modules chargés.

L'extraction des payloads injectés utilise windows.malfind avec l'option dump pour sauvegarder les régions mémoire suspectes en fichiers binaires analysables. L'analyse des headers de ces dumps identifie les DLL injectées (header MZ/PE), les shellcodes (séquences d'instructions x86/x64) et les configurations déchiffrées des frameworks C2 comme Cobalt Strike. La corrélation entre les régions injectées et les connexions réseau actives du processus (via windows.netscan) confirme les injections malveillantes en liant le code injecté aux communications C2 observées.

Analyse de rootkits et structures noyau

Les rootkits kernel-mode manipulent les structures du noyau Windows pour se rendre invisibles aux outils de monitoring userland. L'analyse mémoire détecte ces manipulations par comparaison entre les structures noyau en mémoire et les valeurs attendues. Le plugin windows.ssdt compare la System Service Descriptor Table en mémoire avec les adresses attendues des fonctions noyau pour identifier les hooks qui redirigent les appels système vers du code malveillant. Le plugin windows.driverscan parcourt la mémoire à la recherche d'objets drivers en utilisant le pool scanning plutôt que les listes chaînées du noyau, détectant les drivers cachés qui se sont retirés des listes officielles.

L'analyse des callbacks noyau identifie les fonctions enregistrées par les rootkits pour intercepter les événements système : création de processus (PsSetCreateProcessNotifyRoutine), chargement de DLL (PsSetLoadImageNotifyRoutine), modifications de registre (CmRegisterCallback) et opérations fichiers (FltRegisterFilter). Les callbacks pointant vers des adresses en dehors des modules noyau connus sont des indicateurs de rootkit. L'extraction du code aux adresses de callback suspectes et son analyse dans Ghidra révèle les fonctions de dissimulation implémentées par le rootkit.

Conclusion

L'analyse mémoire forensique avec Volatility 3 est la technique fondamentale pour détecter les malwares qui échappent aux outils de détection traditionnels. L'identification des processus suspects, la détection des injections de code et l'analyse des rootkits kernel-mode fournissent une visibilité complète sur l'état de compromission du système pour une réponse à incident efficace.

Synthèse et points clés

Les éléments présentés dans cet article mettent en évidence l'importance d'une approche structurée et méthodique. La combinaison de contrôles techniques, de processus organisationnels et de formation continue constitue le socle d'une posture de sécurité mature et résiliente face aux menaces actuelles.

Analyse de malwares & rétro-ingénierie

Analyse de code malveillant, reverse engineering, threat intelligence — rapport IOC complet.

Contacter un expert [email protected]

Extraction de Preuves et Chaîne de Custody en Analyse Mémoire Forensique

L'acquisition du dump mémoire doit être réalisée en respectant les principes légaux de la forensique numérique pour que les preuves extraites soient recevables dans une procédure judiciaire ou une investigation disciplinaire. L'ordre de volatilité guide la séquence d'acquisition : la mémoire vive est la source la plus volatile (perdue à l'extinction) et doit être capturée en priorité, avant les fichiers de swap, les logs système et le disque. Des outils comme WinPmem pour Windows et LiME (Linux Memory Extractor) pour Linux permettent d'acquérir un dump mémoire cohérent depuis un système en cours d'exécution avec un impact minimal sur les processus actifs.

La chaîne de custody du dump mémoire suit les mêmes exigences qu'une pièce à conviction physique : documentation de l'heure d'acquisition, du système source (nom d'hôte, adresse IP, identifiant d'inventaire), de l'analyste ayant procédé à l'acquisition, et calcul d'un hash cryptographique (SHA-256) du fichier dump immédiatement après la capture. Ce hash est conservé séparément et vérifié avant chaque session d'analyse pour détecter toute altération non intentionnelle. Le fichier dump original est conservé intouché, et toutes les analyses sont réalisées sur une copie.

Volatility 3 facilite l'extraction automatisée d'indicateurs de compromission exportables vers les plateformes de Threat Intelligence comme MISP. Les plugins windows.netscan, windows.cmdline et windows.malfind génèrent des artefacts directement consommables : adresses IP et ports des connexions réseau établies, lignes de commande des processus suspects avec leurs arguments, et dumps des régions mémoire exécutables injektées dans des processus légitimes. Ces IOC enrichissent la réponse aux incidents en permettant de rechercher rétrospectivement d'autres systèmes compromis dans les logs SIEM sur la même période.