---
title: Volatility 3
description: "Analyser une image mémoire : processus, connexions, injections et credentials."
category: forensics
kind: tool
tags: [memory, dfir, malware, windows, volatility]
level: intermediate
updated: 2026-10-29
order: 1
aliases: ["volatility", "memory forensics"]
---

## Préparer

```bash
pip install volatility3
vol -h
vol -f memory.raw windows.info
```

```bash
# Identifier le profil (Windows)
vol -f memory.raw windows.info.Info

# Lister les plugins disponibles
vol -f memory.raw --help | grep windows
```

## Processus

```bash
# Liste des processus
vol -f memory.raw windows.pslist

# Arbre des processus
vol -f memory.raw windows.pstree

# Lignes de commande
vol -f memory.raw windows.cmdline

# Processus cachés / terminés
vol -f memory.raw windows.psscan
vol -f memory.raw windows.psxview
```

## Réseau

```bash
vol -f memory.raw windows.netscan
vol -f memory.raw windows.netstat
```

## Injections et code malveillant

```bash
# Régions mémoire suspectes
vol -f memory.raw windows.malfind

# DLLs par processus
vol -f memory.raw windows.dlllist --pid 1234

# Handles ouverts
vol -f memory.raw windows.handles --pid 1234

# VAD et régions mémoire
vol -f memory.raw windows.vadinfo --pid 1234
```

## Credentials

```bash
# Hashs SAM (si l'image contient les ruches)
vol -f memory.raw windows.hashdump
vol -f memory.raw windows.lsadump

# Secrets LSA
vol -f memory.raw windows.secrets
```

## Fichiers et registre

```bash
# Chercher un fichier
vol -f memory.raw windows.filescan | grep -i "flag\|secret\|\.docx"

# Extraire par offset
vol -f memory.raw windows.dumpfiles --virtaddr 0x...

# Ruches et clés
vol -f memory.raw windows.hivelist
vol -f memory.raw windows.printkey --hive-offset 0x... --key "Software\Microsoft\Windows\CurrentVersion\Run"
```

## Timeline

```bash
vol -f memory.raw windows.timeliner
vol -f memory.raw windows.userassist
vol -f memory.raw windows.shimcache
vol -f memory.raw windows.amcache
```

## Linux

```bash
vol -f memory.raw linux.pslist
vol -f memory.raw linux.pstree
vol -f memory.raw linux.bash
vol -f memory.raw linux.sockstat
vol -f memory.raw linux.malfind
```

> [!TIP]
> Commence toujours par `info`, `pslist`, `pstree`, `cmdline` et `netscan`. Cherche les processus dont le parent est `explorer.exe` mais dont le binaire est dans `Temp`, les noms en `svch0st`, et les connexions sortantes vers des IP inconnues.

> [!WARNING]
> Une image mémoire est une donnée sensible : elle contient des credentials, des cookies et des données personnelles. Hash l'image avant analyse, travaille sur une copie, et ne partage jamais l'image brute dans un rapport.