Volatility filescan netscan

Définition

Les plugins filescan et netscan de Volatility 3 permettent d'analyser les fichiers ouverts et les connexions réseau actives enregistrées dans un dump mémoire. filescan (windows.filescan) scanne les pools mémoire à la recherche de structures FILE_OBJECT, listant tous les fichiers qui étaient ouverts au moment du dump. netscan (windows.netstat) extrait les informations de connexions TCP/UDP depuis les structures noyau, révélant les communications réseau actives et récentes. windows.filescan est particulièrement utile pour plusieurs raisons. D'abord, il peut révéler des fichiers malveillants qui ont été ouverts puis supprimés du disque — si un malware crée un fichier, l'exécute, puis le supprime, la structure FILE_OBJECT peut encore être en mémoire dans le dump. Ensuite, filescan révèle les fichiers ouverts par tous les processus, y compris les processus cachés DKOM qui n'apparaissent pas dans pslist. Les chemins de fichiers suspects (TEMP, Roaming, chemins inhabituels) sont immédiatement identifiables. windows.netstat (anciennement netscan dans Volatility 2) analyse les structures TCP/UDP dans le noyau Windows pour lister les connexions actives, les connexions récemment fermées (TIME_WAIT, CLOSE_WAIT), et les ports en écoute. Cette information est précieuse pour identifier les communications C2 : des connexions sortantes vers des IPs inhabituelles depuis des processus inattendus (svchost.exe ou explorer.exe avec une connexion sortante vers une IP externe sur le port 443 ou 8080) sont des indicateurs immédiats de compromission. La corrélation entre netscan et pslist/pstree est essentielle : une connexion réseau identifiée dans netscan doit être mise en relation avec le processus qui l'a établie (par PID). Un processus qui établit des connexions inhabituelles peut alors être analysé en détail avec dlllist, cmdline, et malfind pour comprendre sa nature malveillante. filescan supporte également l'extraction des handles vers des named pipes et des objets de synchronisation (mutexes), utiles pour identifier les canaux de communication inter-processus utilisés par les malwares.