Volatility Linux Memory Analysis

Définition

L'analyse mémoire Linux avec Volatility 3 permet d'investiguer des dumps RAM de systèmes Linux pour identifier les processus malveillants, les modules noyau (rootkits LKM), les connexions réseau cachées, et d'autres artefacts forensiques des systèmes compromis. La forensique mémoire Linux est plus complexe que Windows en raison de la diversité des distributions et des versions de noyau, chaque profil étant spécifique à un couple distribution/version. Volatility 3 a simplifié l'analyse Linux en utilisant des symboles de débogage (ISF — Intermediate Symbol Files) plutôt que des profils prédéfinis. Les ISF Linux sont générés automatiquement depuis les dwarf2json, qui extrait les symboles DWARF des packages linux-image-[version]-dbg (packages de débogage). Sans profil correspondant à la version exacte du noyau analysé, l'analyse n'est pas possible avec Volatility. Les plugins Linux Volatility 3 les plus utilisés incluent : linux.pslist (liste des processus via la task_struct list), linux.psscan (scan de mémoire pour les task_struct — détecte les processus DKOM-hidden), linux.bash (récupère l'historique bash depuis la mémoire du processus bash), linux.netstat (connexions réseau actives), linux.lsmod (modules noyau chargés via les listes linked list du noyau), linux.check_modules (détecte les modules cachés), et linux.malfind (identifie les régions mémoire exécutables anonymes suspectes dans les processus). Linux Memory Extractor (LiME) est le module noyau standard pour l'acquisition mémoire Linux. Il est chargé dynamiquement (insmod lime.ko path=/dev/tcp/192.168.1.100/4444 format=lime) pour dumper la RAM vers un fichier ou via le réseau, sans nécessiter l'arrêt du système. AVML (Microsoft) est une alternative userspace ne nécessitant pas de module noyau chargé. L'analyse des rootkits LKM (Loadable Kernel Module) via Volatility Linux compare les modules visibles via /proc/modules avec les modules trouvés en scannant la mémoire noyau pour les structures module_t, révélant les modules qui se sont cachés en se retirant de la liste officielle.