10 · Analyse de la mémoire
Analyse mémoire Windows avec Volatility 3 : guide pratique
Acquérir la RAM Windows, exploiter hiberfil et pagefile, puis dérouler Volatility 3 pour trouver code injecté, processus cachés et activité réseau.
Domaine 10
Analyse de la mémoire
Certaines preuves n'existent qu'en RAM. Ce domaine couvre l'acquisition mémoire, les fichiers d'hibernation et d'échange en solution de repli, les plugins essentiels de Volatility 3, la chasse aux anomalies de processus et au code injecté, et les pièges de la mémoire compressée, du smear et de la sécurité basée sur la virtualisation.
Sources clés
- Volatility 3
- hiberfil.sys
- pagefile.sys
Guides de ce domaine
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- hiberfil.sys (fichier d'hibernation)Fiche hiberfil.sys : ce que sauvent l'hibernation et le démarrage rapide, compression selon la version, conversion en image mémoire brute.
- pagefile.sys et swapfile.sysFiche pagefile.sys et swapfile.sys : mémoire paginée sur disque, données récupérables, ClearPageFileAtShutdown, compression et outils de carving.
- Vidages mémoire (MEMORY.DMP, minidumps)Fiche vidages mémoire : emplacements de MEMORY.DMP et des minidumps, types CrashControl, vidages en mode utilisateur, traces de dump LSASS et outils d'analyse.
- Rapports d'erreurs Windows (WER)Fiche Windows Error Reporting : dossiers Report.wer, champs AppPath et SHA-1, événements Application 1000/1001/1002, vidages LocalDumps et rétention.