Memory Dump — Analyse mémoire forensique

Définition

L'analyse forensique de la mémoire vive (RAM) est une discipline spécialisée permettant d'extraire des artefacts volatils qui disparaissent à l'extinction du système : processus en cours d'exécution, connexions réseau actives, clés de chiffrement, mots de passe en clair, injections de code malveillant en mémoire, et artefacts de malware fileless qui n'écrivent jamais sur disque. L'acquisition d'un dump mémoire utilise des outils comme WinPmem, DumpIt, Magnet RAM Capture (Windows) ou dd /proc/mem, LiME (Linux Loadable Kernel Module) sur Linux. Volatility Foundation, disponible en version 2 (Python 2) et version 3 (Python 3+), est le framework d'analyse forensique de mémoire le plus utilisé. Ses plugins permettent de lister les processus (pslist, pstree, psscan), détecter les injections (malfind, hollowfind), extraire les connexions réseau (netscan), récupérer des hachages de mots de passe (hashdump), et analyser les artefacts Cobalt Strike Beacon. Rekall est une alternative issue d'un fork de Volatility. L'analyse mémoire est devenue indispensable face aux malwares fileless et aux APT qui minimisent leur empreinte disque.