Memory Dump — Analyse mémoire forensique

forensics

Définition

L'analyse forensique de la mémoire vive (RAM) est une discipline spécialisée permettant d'extraire des artefacts volatils qui disparaissent à l'extinction du système : processus en cours d'exécution, connexions réseau actives, clés de chiffrement, mots de passe en clair, injections de code malveillant en mémoire, et artefacts de malware fileless qui n'écrivent jamais sur disque. L'acquisition d'un dump mémoire utilise des outils comme WinPmem, DumpIt, Magnet RAM Capture (Windows) ou dd /proc/mem, LiME (Linux Loadable Kernel Module) sur Linux. Volatility Foundation, disponible en version 2 (Python 2) et version 3 (Python 3+), est le framework d'analyse forensique de mémoire le plus utilisé. Ses plugins permettent de lister les processus (pslist, pstree, psscan), détecter les injections (malfind, hollowfind), extraire les connexions réseau (netscan), récupérer des hachages de mots de passe (hashdump), et analyser les artefacts Cobalt Strike Beacon. Rekall est une alternative issue d'un fork de Volatility. L'analyse mémoire est devenue indispensable face aux malwares fileless et aux APT qui minimisent leur empreinte disque.

Description

L'analyse forensique de la mémoire RAM extrait les artefacts volatils disparaissant à l'extinction : processus en cours, connexions réseau actives, clés de chiffrement, mots de passe en clair et malwares fileless n'écrivant jamais sur disque. Volatility Framework (v2/v3) est le standard de l'industrie pour cette discipline.

Usage forensique

Acquisition : WinPmem, DumpIt, Magnet RAM Capture (Windows) ; LiME module noyau (Linux). Analyse Volatility : windows.pslist, windows.malfind (injections), windows.netscan, windows.hashdump, windows.cmdline pour les lignes de commande.

Points clés

Malwares fileless : PowerShell Empire, Cobalt Strike n'écrivent pas sur disque — mémoire seul artefact disponible
Comparaison pslist vs psscan : processus absents de pslist mais présents en psscan = DKOM rootkit
Hiberfil.sys et pagefile.sys : sources secondaires d'artefacts mémoire persistés sur disque

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis