Analyse Mémoire Forensique : Volatility pour Malware

L'analyse mémoire fournit une photographie instantanée de l'état du système compromis au moment de l'acquisition : processus en cours d'exécution avec leurs arbres de filiation, connexions réseau actives avec les adresses IP de C2, DLL chargées en mémoire incluant celles injectées dynamiquement, et artefacts du noyau incluant les hooks et les drivers cachés. Cette richesse d'information fait de l'analyse mémoire le complément indispensable de l'analyse de disque pour une investigation forensique complète. La détection des malwares fileless repose principalement sur ces techniques. L'analyse dynamique en sandbox peut être complétée par l'acquisition mémoire pour capturer les payloads déchiffrés. Les rootkits kernel-mode sont spécifiquement détectés par l'analyse des structures noyau en mémoire. La rétro-ingénierie des frameworks C2 utilise les dumps mémoire pour extraire la configuration beacon déchiffrée. La documentation de Volatility 3 et les cours SANS FOR508 sont les ressources de référence pour cette discipline.

Acquisition mémoire et triage initial

L'acquisition du dump mémoire doit être la première action de l'investigation forensique pour préserver les artefacts volatiles avant toute interaction avec le système qui pourrait modifier l'état de la mémoire. Sur Windows, WinPMEM (développé par Velocidex/Rekall) et DumpIt (Magnet Forensics) acquièrent la mémoire physique complète en format RAW, AFF4 ou crashdump. Sur Linux, LiME (Linux Memory Extractor) produit un dump au format lime ou padded. L'acquisition doit être effectuée depuis un support amovible de confiance (USB bootable) pour minimiser la contamination du dump par les processus de l'outil d'acquisition lui-même.

Le triage initial avec Volatility 3 identifie rapidement les anomalies évidentes. Le plugin windows.pslist liste les processus actifs avec leur PID, PPID, date de création et nombre de threads. Le plugin windows.pstree affiche l'arbre de filiation des processus pour identifier les processus orphelins ou les filiations anormales (svchost.exe qui n'est pas enfant de services.exe, cmd.exe lancé par un processus Word). Le plugin windows.netscan liste les connexions réseau actives et récentes avec les adresses IP, ports et processus associés, révélant immédiatement les communications C2 suspectes.

Détection d'injection de processus

L'injection de processus est la technique la plus utilisée par les malwares pour s'exécuter dans le contexte d'un processus légitime (svchost.exe, explorer.exe, lsass.exe) afin d'échapper à la détection. Le plugin windows.malfind de Volatility détecte les régions mémoire avec des permissions RWX (Read-Write-Execute) dans les processus, une combinaison suspecte car les sections de code légitimes sont typiquement RX (Read-Execute) et les sections de données RW (Read-Write). Les régions RWX contiennent potentiellement du shellcode ou des DLL injectées dynamiquement qui n'apparaissent pas dans la liste des modules chargés.

L'extraction des payloads injectés utilise windows.malfind avec l'option dump pour sauvegarder les régions mémoire suspectes en fichiers binaires analysables. L'analyse des headers de ces dumps identifie les DLL injectées (header MZ/PE), les shellcodes (séquences d'instructions x86/x64) et les configurations déchiffrées des frameworks C2 comme Cobalt Strike. La corrélation entre les régions injectées et les connexions réseau actives du processus (via windows.netscan) confirme les injections malveillantes en liant le code injecté aux communications C2 observées.

Analyse de rootkits et structures noyau

Les rootkits kernel-mode manipulent les structures du noyau Windows pour se rendre invisibles aux outils de monitoring userland. L'analyse mémoire détecte ces manipulations par comparaison entre les structures noyau en mémoire et les valeurs attendues. Le plugin windows.ssdt compare la System Service Descriptor Table en mémoire avec les adresses attendues des fonctions noyau pour identifier les hooks qui redirigent les appels système vers du code malveillant. Le plugin windows.driverscan parcourt la mémoire à la recherche d'objets drivers en utilisant le pool scanning plutôt que les listes chaînées du noyau, détectant les drivers cachés qui se sont retirés des listes officielles.

L'analyse des callbacks noyau identifie les fonctions enregistrées par les rootkits pour intercepter les événements système : création de processus (PsSetCreateProcessNotifyRoutine), chargement de DLL (PsSetLoadImageNotifyRoutine), modifications de registre (CmRegisterCallback) et opérations fichiers (FltRegisterFilter). Les callbacks pointant vers des adresses en dehors des modules noyau connus sont des indicateurs de rootkit. L'extraction du code aux adresses de callback suspectes et son analyse dans Ghidra révèle les fonctions de dissimulation implémentées par le rootkit.

Conclusion

L'analyse mémoire forensique avec Volatility 3 est la technique fondamentale pour détecter les malwares qui échappent aux outils de détection traditionnels. L'identification des processus suspects, la détection des injections de code et l'analyse des rootkits kernel-mode fournissent une visibilité complète sur l'état de compromission du système pour une réponse à incident efficace.