Volatility 3 — outil

#Préparer

bash

pip install volatility3
vol -h
vol -f memory.raw windows.info

bash

# Identifier le profil (Windows)
vol -f memory.raw windows.info.Info

# Lister les plugins disponibles
vol -f memory.raw --help | grep windows

#Processus

bash

# Liste des processus
vol -f memory.raw windows.pslist

# Arbre des processus
vol -f memory.raw windows.pstree

# Lignes de commande
vol -f memory.raw windows.cmdline

# Processus cachés / terminés
vol -f memory.raw windows.psscan
vol -f memory.raw windows.psxview

#Réseau

bash

vol -f memory.raw windows.netscan
vol -f memory.raw windows.netstat

#Injections et code malveillant

bash

# Régions mémoire suspectes
vol -f memory.raw windows.malfind

# DLLs par processus
vol -f memory.raw windows.dlllist --pid 1234

# Handles ouverts
vol -f memory.raw windows.handles --pid 1234

# VAD et régions mémoire
vol -f memory.raw windows.vadinfo --pid 1234

#Credentials

bash

# Hashs SAM (si l'image contient les ruches)
vol -f memory.raw windows.hashdump
vol -f memory.raw windows.lsadump

# Secrets LSA
vol -f memory.raw windows.secrets

#Fichiers et registre

bash

# Chercher un fichier
vol -f memory.raw windows.filescan | grep -i "flag\|secret\|\.docx"

# Extraire par offset
vol -f memory.raw windows.dumpfiles --virtaddr 0x...

# Ruches et clés
vol -f memory.raw windows.hivelist
vol -f memory.raw windows.printkey --hive-offset 0x... --key "Software\Microsoft\Windows\CurrentVersion\Run"

#Timeline

bash

vol -f memory.raw windows.timeliner
vol -f memory.raw windows.userassist
vol -f memory.raw windows.shimcache
vol -f memory.raw windows.amcache

#Linux

bash

vol -f memory.raw linux.pslist
vol -f memory.raw linux.pstree
vol -f memory.raw linux.bash
vol -f memory.raw linux.sockstat
vol -f memory.raw linux.malfind