Malfind Plugin Volatility

Définition

Malfind est l'un des plugins les plus utilisés du framework Volatility pour la détection d'injections de code malveillant en mémoire. Il analyse les régions de mémoire de chaque processus et identifie celles présentant des caractéristiques typiques du code injecté : permissions exécutables avec contenu non backed by fichier, en-têtes PE en mémoire dans des régions privées, et autres anomalies. Le principe technique de malfind repose sur l'analyse des VADs (Virtual Address Descriptors), les structures noyau Windows décrivant les régions de l'espace d'adressage virtuel de chaque processus. Malfind recherche spécifiquement les régions de mémoire qui sont : 1) PAGE_EXECUTE_READWRITE ou similaires (permissions à la fois exécutables et modifiables, combinaison suspecte car les sections de code légitimes sont généralement READ_EXECUTE), 2) private (non mappées sur un fichier), et 3) contenant ce qui ressemble à un en-tête MZ/PE (signature 4D 5A = 'MZ'). Les injections de code détectées par malfind incluent les techniques les plus communes : process injection classique (WriteProcessMemory + CreateRemoteThread), reflective DLL injection (DLL se décompressant et se chargeant elle-même en mémoire sans passer par LoadLibrary), process hollowing (vidage d'un processus légitime et remplacement par du code malveillant), atom bombing, et heap spray. Ces techniques sont utilisées par des malwares comme Cobalt Strike Beacon, Meterpreter, et de nombreux RAT/stagers. L'interprétation des résultats malfind requiert une validation manuelle. Des faux positifs existent : certaines applications légitimes utilisent des techniques de compilation JIT (Java, .NET, navigateurs) qui produisent des régions RWX contenant du code. malfind peut extraire les régions suspectes comme des fichiers PE (option --dump-dir) pour analyse statique ultérieure avec PEiD, YARA, ou VirusTotal. Dans Volatility 3, le plugin s'appelle windows.malfind et s'utilise : 'python vol.py -f memory.dmp windows.malfind' ou 'python vol.py -f memory.dmp windows.malfind --pid 1234' pour un processus spécifique.