Volatility yarascan timeliner

Définition

Les plugins yarascan et timeliner de Volatility étendent les capacités d'analyse mémoire respectivement par la détection de patterns malveillants et par la reconstruction chronologique des artefacts forensiques présents dans le dump RAM. windows.vadyarascan (Volatility 3, anciennement yarascan dans V2) applique des règles YARA directement aux espaces mémoire virtuels des processus ou à la mémoire physique complète. Il recherche des patterns binaires, des chaînes de caractères, ou des expressions régulières définis dans les règles YARA contre le contenu du dump mémoire. Cette fonctionnalité est particulièrement puissante pour la détection de shellcodes, de signatures de malwares, de clés de chiffrement en mémoire (clés XOR, clés AES), ou de configurations C2 (URLs, IPs encodées dans les configurations de malwares en mémoire). Les règles YARA pour l'analyse mémoire diffèrent légèrement des règles YARA pour les fichiers : elles doivent tenir compte du fait que les fichiers PE en mémoire ont leurs sections à des offsets différents de leurs offsets sur disque (les sections sont alignées en pages de 4KB en mémoire, alors qu'elles peuvent avoir un alignement différent dans le fichier PE). L'option --wide pour les chaînes Unicode et le wildcard 'pe.' dans les modules YARA gèrent ces différences. windows.timeliner (Volatility 3) est un plugin qui agrège les informations temporelles de nombreuses sources dans le dump mémoire pour créer une timeline forensique : timestamps de création/modification de processus (EPROCESS.CreateTime), timestamps de fichiers ouverts (FILE_OBJECT), timestamps d'entrées de registre (clés chargées), et informations réseau temporelles. Cette timeline peut être exportée en format Excel ou CSV pour analyse dans Timeline Explorer. La combinaison de yarascan pour la détection et timeliner pour la contextualisation temporelle est particulièrement efficace : une règle YARA détecte la présence d'un malware connu en mémoire, et timeliner permet de dater précisément quand ce malware a été actif.