hacktricks/src/generic-methodologies-and-resources/basic-forensic-methodology/memory-dump-analysis/volatility-cheatsheet.md

Volatility - CheatSheet

{{#include ../../../banners/hacktricks-training.md}}

​

Ako vam je potreban alat koji automatizuje analizu memorije sa različitim nivoima skeniranja i pokreće više Volatility3 dodataka paralelno, možete koristiti autoVolatility3:: https://github.com/H3xKatana/autoVolatility3/

# Full scan (runs all plugins)
python3 autovol3.py -f MEMFILE -o OUT_DIR -s full

# Minimal scan (runs a limited set of plugins)
python3 autovol3.py -f MEMFILE -o OUT_DIR -s minimal

# Normal scan (runs a balanced set of plugins)
python3 autovol3.py -f MEMFILE -o OUT_DIR -s normal

Ako želite nešto brzo i ludo što će pokrenuti nekoliko Volatility dodataka paralelno, možete koristiti: https://github.com/carlospolop/autoVolatility

python autoVolatility.py -f MEMFILE -d OUT_DIRECTORY -e /home/user/tools/volatility/vol.py # It will use the most important plugins (could use a lot of space depending on the size of the memory)

Instalacija

volatility3

git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3
python3 setup.py install
python3 vol.py —h

volatility2

{{#tabs}} {{#tab name="Method1"}}

Download the executable from https://www.volatilityfoundation.org/26

{{#endtab}}

{{#tab name="Method 2"}}

git clone https://github.com/volatilityfoundation/volatility.git
cd volatility
python setup.py install

{{#endtab}} {{#endtabs}}

Volatility komande

Pristupite zvaničnoj dokumentaciji u Volatility command reference

Napomena o “list” vs. “scan” pluginovima

Volatility ima dva glavna pristupa pluginovima, koji se ponekad odražavaju u njihovim imenima. “list” pluginovi će pokušati da navigiraju kroz Windows Kernel strukture kako bi prikupili informacije kao što su procesi (lociranje i prolazak kroz povezanu listu _EPROCESS struktura u memoriji), OS handle-ovi (lociranje i listanje tabele handle-ova, dereferenciranje bilo kojih pronađenih pokazivača, itd). Oni se ponašaju više-manje kao što bi se Windows API ponašao kada bi se, na primer, tražilo da listira procese.

To čini “list” pluginove prilično brzim, ali jednako ranjivim na manipulaciju od strane malvera kao i Windows API. Na primer, ako malver koristi DKOM da unlinkuje proces iz _EPROCESS povezane liste, on se neće prikazati u Task Manager-u, niti u pslist-u.

“scan” pluginovi, s druge strane, će uzeti pristup sličan vađenju podataka iz memorije za stvari koje bi mogle imati smisla kada se dereferenciraju kao specifične strukture. psscan na primer će čitati memoriju i pokušati da napravi _EPROCESS objekte iz nje (koristi skeniranje pool-taga, što je pretraživanje za 4-bajtne stringove koji ukazuju na prisustvo strukture od interesa). Prednost je u tome što može pronaći procese koji su izašli, i čak i ako malver manipuliše _EPROCESS povezanim listama, plugin će i dalje pronaći strukturu koja leži u memoriji (pošto ona i dalje mora postojati da bi proces radio). Nedostatak je što su “scan” pluginovi malo sporiji od “list” pluginova, i ponekad mogu dati lažne pozitivne rezultate (proces koji je izašao previše davno i čiji su delovi strukture prepisani drugim operacijama).

Iz: http://tomchop.me/2016/11/21/tutorial-volatility-plugins-malware-analysis/

OS profili

Volatility3

Kao što je objašnjeno u readme-u, potrebno je staviti tabelu simbola OS-a koji želite da podržite unutar volatility3/volatility/symbols.
Paketi tabela simbola za različite operativne sisteme su dostupni za preuzimanje na:

• https://downloads.volatilityfoundation.org/volatility3/symbols/windows.zip
• https://downloads.volatilityfoundation.org/volatility3/symbols/mac.zip
• https://downloads.volatilityfoundation.org/volatility3/symbols/linux.zip

Volatility2

Spoljni profil

Možete dobiti listu podržanih profila tako što ćete uraditi:

./volatility_2.6_lin64_standalone --info | grep "Profile"

Ako želite da koristite novi profil koji ste preuzeli (na primer, linux profil) potrebno je da negde kreirate sledeću strukturu foldera: plugins/overlays/linux i stavite unutar ovog foldera zip fajl koji sadrži profil. Zatim, dobijte broj profila koristeći:

./vol --plugins=/home/kali/Desktop/ctfs/final/plugins --info
Volatility Foundation Volatility Framework 2.6


Profiles
--------
LinuxCentOS7_3_10_0-123_el7_x86_64_profilex64 - A Profile for Linux CentOS7_3.10.0-123.el7.x86_64_profile x64
VistaSP0x64                                   - A Profile for Windows Vista SP0 x64
VistaSP0x86                                   - A Profile for Windows Vista SP0 x86

Možete preuzeti Linux i Mac profile sa https://github.com/volatilityfoundation/profiles

U prethodnom delu možete videti da se profil zove LinuxCentOS7_3_10_0-123_el7_x86_64_profilex64, i možete ga koristiti za izvršavanje nečega poput:

./vol -f file.dmp --plugins=. --profile=LinuxCentOS7_3_10_0-123_el7_x86_64_profilex64 linux_netscan

Otkrijte profil

volatility imageinfo -f file.dmp
volatility kdbgscan -f file.dmp

Razlike između imageinfo i kdbgscan

Odavde: Za razliku od imageinfo koji jednostavno pruža predloge profila, kdbgscan je dizajniran da pozitivno identifikuje tačan profil i tačnu KDBG adresu (ako ih ima više). Ovaj plugin skenira KDBGHeader potpise povezane sa Volatility profilima i primenjuje provere kako bi smanjio lažne pozitivne rezultate. Opširnost izlaza i broj provera koje se mogu izvršiti zavise od toga da li Volatility može pronaći DTB, tako da ako već znate tačan profil (ili ako imate predlog profila iz imageinfo), obavezno ga koristite.

Uvek obratite pažnju na broj procesa koje je kdbgscan pronašao. Ponekad imageinfo i kdbgscan mogu pronaći više od jednog odgovarajućeg profila, ali samo važeći će imati neki proces povezan (To je zato što je za ekstrakciju procesa potrebna tačna KDBG adresa).

# GOOD
PsActiveProcessHead           : 0xfffff800011977f0 (37 processes)
PsLoadedModuleList            : 0xfffff8000119aae0 (116 modules)

# BAD
PsActiveProcessHead           : 0xfffff800011947f0 (0 processes)
PsLoadedModuleList            : 0xfffff80001197ac0 (0 modules)

KDBG

KDBG, ili kernel debugger block, je ključan za forenzičke zadatke koje obavlja Volatility i razni debuggers. Identifikovan kao KdDebuggerDataBlock i tipa _KDDEBUGGER_DATA64, sadrži bitne reference kao što je PsActiveProcessHead. Ova specifična referenca ukazuje na početak liste procesa, omogućavajući prikazivanje svih procesa, što je osnovno za temeljnu analizu memorije.

OS Information

#vol3 has a plugin to give OS information (note that imageinfo from vol2 will give you OS info)
./vol.py -f file.dmp windows.info.Info

Plugin banners.Banners može se koristiti u vol3 da pokuša da pronađe linux banere u dump-u.

Hashovi/Lozinke

Izvucite SAM hashove, keširane kredencijale domena i lsa tajne.

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.hashdump.Hashdump #Grab common windows hashes (SAM+SYSTEM)
./vol.py -f file.dmp windows.cachedump.Cachedump #Grab domain cache hashes inside the registry
./vol.py -f file.dmp windows.lsadump.Lsadump #Grab lsa secrets

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 hashdump -f file.dmp #Grab common windows hashes (SAM+SYSTEM)
volatility --profile=Win7SP1x86_23418 cachedump -f file.dmp #Grab domain cache hashes inside the registry
volatility --profile=Win7SP1x86_23418 lsadump -f file.dmp #Grab lsa secrets

{{#endtab}} {{#endtabs}}

Memory Dump

Memorijski dump procesa će izvući sve iz trenutnog stanja procesa. procdump modul će samo izvući kod.

volatility -f file.dmp --profile=Win7SP1x86 memdump -p 2168 -D conhost/

Procesi

Lista procesa

Pokušajte da pronađete sumnjive procese (po imenu) ili neočekivane pod procese (na primer, cmd.exe kao podproces iexplorer.exe).
Može biti zanimljivo uporediti rezultat pslist-a sa onim iz psscan-a kako biste identifikovali skrivene procese.

{{#tabs}} {{#tab name="vol3"}}

python3 vol.py -f file.dmp windows.pstree.PsTree # Get processes tree (not hidden)
python3 vol.py -f file.dmp windows.pslist.PsList # Get process list (EPROCESS)
python3 vol.py -f file.dmp windows.psscan.PsScan # Get hidden process list(malware)

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=PROFILE pstree -f file.dmp # Get process tree (not hidden)
volatility --profile=PROFILE pslist -f file.dmp # Get process list (EPROCESS)
volatility --profile=PROFILE psscan -f file.dmp # Get hidden process list(malware)
volatility --profile=PROFILE psxview -f file.dmp # Get hidden process list

{{#endtab}} {{#endtabs}}

Dump proc

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.dumpfiles.DumpFiles --pid <pid> #Dump the .exe and dlls of the process in the current directory

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 procdump --pid=3152 -n --dump-dir=. -f file.dmp

{{#endtab}} {{#endtabs}}

Komandna linija

Da li je izvršeno nešto sumnjivo?

{{#tabs}} {{#tab name="vol3"}}

python3 vol.py -f file.dmp windows.cmdline.CmdLine #Display process command-line arguments

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=PROFILE cmdline -f file.dmp #Display process command-line arguments
volatility --profile=PROFILE consoles -f file.dmp #command history by scanning for _CONSOLE_INFORMATION

{{#endtab}} {{#endtabs}}

Komande izvršene u cmd.exe upravlja conhost.exe (ili csrss.exe na sistemima pre Windows 7). To znači da, ako cmd.exe bude prekinut od strane napadača pre nego što se dobije memorijski dump, još uvek je moguće povratiti istoriju komandi sesije iz memorije conhost.exe. Da bi se to uradilo, ako se otkrije neobična aktivnost unutar modula konzole, memorija povezanog conhost.exe procesa treba da se dumpuje. Zatim, pretraživanjem stringova unutar ovog dump-a, mogu se potencijalno izvući komandne linije korišćene u sesiji.

Okruženje

Dobijte env varijable svakog pokrenutog procesa. Mogu postojati neki zanimljivi vrednosti.

{{#tabs}} {{#tab name="vol3"}}

python3 vol.py -f file.dmp windows.envars.Envars [--pid <pid>] #Display process environment variables

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=PROFILE envars -f file.dmp [--pid <pid>] #Display process environment variables

volatility --profile=PROFILE -f file.dmp linux_psenv [-p <pid>] #Get env of process. runlevel var means the runlevel where the proc is initated

{{#endtab}} {{#endtabs}}

Token privilegije

Proverite privilegovane tokene u neočekivanim servisima.
Može biti zanimljivo napraviti spisak procesa koji koriste neki privilegovani token.

{{#tabs}} {{#tab name="vol3"}}

#Get enabled privileges of some processes
python3 vol.py -f file.dmp windows.privileges.Privs [--pid <pid>]
#Get all processes with interesting privileges
python3 vol.py -f file.dmp windows.privileges.Privs | grep "SeImpersonatePrivilege\|SeAssignPrimaryPrivilege\|SeTcbPrivilege\|SeBackupPrivilege\|SeRestorePrivilege\|SeCreateTokenPrivilege\|SeLoadDriverPrivilege\|SeTakeOwnershipPrivilege\|SeDebugPrivilege"

{{#endtab}}

{{#tab name="vol2"}}

#Get enabled privileges of some processes
volatility --profile=Win7SP1x86_23418 privs --pid=3152 -f file.dmp | grep Enabled
#Get all processes with interesting privileges
volatility --profile=Win7SP1x86_23418 privs -f file.dmp | grep "SeImpersonatePrivilege\|SeAssignPrimaryPrivilege\|SeTcbPrivilege\|SeBackupPrivilege\|SeRestorePrivilege\|SeCreateTokenPrivilege\|SeLoadDriverPrivilege\|SeTakeOwnershipPrivilege\|SeDebugPrivilege"

{{#endtab}} {{#endtabs}}

SIDs

Proverite svaki SSID koji poseduje proces.
Može biti zanimljivo navesti procese koji koriste SID sa privilegijama (i procese koji koriste neki servisni SID).

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.getsids.GetSIDs [--pid <pid>] #Get SIDs of processes
./vol.py -f file.dmp windows.getservicesids.GetServiceSIDs #Get the SID of services

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 getsids -f file.dmp #Get the SID owned by each process
volatility --profile=Win7SP1x86_23418 getservicesids -f file.dmp #Get the SID of each service

{{#endtab}} {{#endtabs}}

Handles

Koristan je znati na koje druge datoteke, ključeve, niti, procese... proces ima handle (otvorene su)

{{#tabs}} {{#tab name="vol3"}}

vol.py -f file.dmp windows.handles.Handles [--pid <pid>]

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f file.dmp handles [--pid=<pid>]

{{#endtab}} {{#endtabs}}

DLLs

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.dlllist.DllList [--pid <pid>] #List dlls used by each
./vol.py -f file.dmp windows.dumpfiles.DumpFiles --pid <pid> #Dump the .exe and dlls of the process in the current directory process

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 dlllist --pid=3152 -f file.dmp #Get dlls of a proc
volatility --profile=Win7SP1x86_23418 dlldump --pid=3152 --dump-dir=. -f file.dmp #Dump dlls of a proc

{{#endtab}} {{#endtabs}}

Stringovi po procesima

Volatility nam omogućava da proverimo kojem procesu pripada string.

{{#tabs}} {{#tab name="vol3"}}

strings file.dmp > /tmp/strings.txt
./vol.py -f /tmp/file.dmp windows.strings.Strings --strings-file /tmp/strings.txt

{{#endtab}}

{{#tab name="vol2"}}

strings file.dmp > /tmp/strings.txt
volatility -f /tmp/file.dmp windows.strings.Strings --string-file /tmp/strings.txt

volatility -f /tmp/file.dmp --profile=Win81U1x64 memdump -p 3532 --dump-dir .
strings 3532.dmp > strings_file

{{#endtab}} {{#endtabs}}

Takođe omogućava pretragu stringova unutar procesa koristeći yarascan modul:

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.vadyarascan.VadYaraScan --yara-rules "https://" --pid 3692 3840 3976 3312 3084 2784
./vol.py -f file.dmp yarascan.YaraScan --yara-rules "https://"

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 yarascan -Y "https://" -p 3692,3840,3976,3312,3084,2784

{{#endtab}} {{#endtabs}}

UserAssist

Windows prati programe koje pokrećete koristeći funkciju u registru nazvanu UserAssist ključevi. Ovi ključevi beleže koliko puta je svaki program pokrenut i kada je poslednji put pokrenut.

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.registry.userassist.UserAssist

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f file.dmp userassist

{{#endtab}} {{#endtabs}}

​

Usluge

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.svcscan.SvcScan #List services
./vol.py -f file.dmp windows.getservicesids.GetServiceSIDs #Get the SID of services

{{#endtab}}

{{#tab name="vol2"}}

#Get services and binary path
volatility --profile=Win7SP1x86_23418 svcscan -f file.dmp
#Get name of the services and SID (slow)
volatility --profile=Win7SP1x86_23418 getservicesids -f file.dmp

{{#endtab}} {{#endtabs}}

Mreža

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.netscan.NetScan
#For network info of linux use volatility2

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 netscan -f file.dmp
volatility --profile=Win7SP1x86_23418 connections -f file.dmp#XP and 2003 only
volatility --profile=Win7SP1x86_23418 connscan -f file.dmp#TCP connections
volatility --profile=Win7SP1x86_23418 sockscan -f file.dmp#Open sockets
volatility --profile=Win7SP1x86_23418 sockets -f file.dmp#Scanner for tcp socket objects

volatility --profile=SomeLinux -f file.dmp linux_ifconfig
volatility --profile=SomeLinux -f file.dmp linux_netstat
volatility --profile=SomeLinux -f file.dmp linux_netfilter
volatility --profile=SomeLinux -f file.dmp linux_arp #ARP table
volatility --profile=SomeLinux -f file.dmp linux_list_raw #Processes using promiscuous raw sockets (comm between processes)
volatility --profile=SomeLinux -f file.dmp linux_route_cache

{{#endtab}} {{#endtabs}}

Registry hive

Ispis dostupnih hives

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.registry.hivelist.HiveList #List roots
./vol.py -f file.dmp windows.registry.printkey.PrintKey #List roots and get initial subkeys

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f file.dmp hivelist #List roots
volatility --profile=Win7SP1x86_23418 -f file.dmp printkey #List roots and get initial subkeys

{{#endtab}} {{#endtabs}}

Dobijanje vrednosti

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.registry.printkey.PrintKey --key "Software\Microsoft\Windows NT\CurrentVersion"

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 printkey -K "Software\Microsoft\Windows NT\CurrentVersion" -f file.dmp
# Get Run binaries registry value
volatility -f file.dmp --profile=Win7SP1x86 printkey -o 0x9670e9d0 -K 'Software\Microsoft\Windows\CurrentVersion\Run'

{{#endtab}} {{#endtabs}}

Dump

#Dump a hive
volatility --profile=Win7SP1x86_23418 hivedump -o 0x9aad6148 -f file.dmp #Offset extracted by hivelist
#Dump all hives
volatility --profile=Win7SP1x86_23418 hivedump -f file.dmp

Datotečni sistem

Montiranje

{{#tabs}} {{#tab name="vol3"}}

#See vol2

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=SomeLinux -f file.dmp linux_mount
volatility --profile=SomeLinux -f file.dmp linux_recover_filesystem #Dump the entire filesystem (if possible)

{{#endtab}} {{#endtabs}}

Skener/izbacivanje

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.filescan.FileScan #Scan for files inside the dump
./vol.py -f file.dmp windows.dumpfiles.DumpFiles --physaddr <0xAAAAA> #Offset from previous command

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 filescan -f file.dmp #Scan for files inside the dump
volatility --profile=Win7SP1x86_23418 dumpfiles -n --dump-dir=/tmp -f file.dmp #Dump all files
volatility --profile=Win7SP1x86_23418 dumpfiles -n --dump-dir=/tmp -Q 0x000000007dcaa620 -f file.dmp

volatility --profile=SomeLinux -f file.dmp linux_enumerate_files
volatility --profile=SomeLinux -f file.dmp linux_find_file -F /path/to/file
volatility --profile=SomeLinux -f file.dmp linux_find_file -i 0xINODENUMBER -O /path/to/dump/file

{{#endtab}} {{#endtabs}}

Master File Table

{{#tabs}} {{#tab name="vol3"}}

# I couldn't find any plugin to extract this information in volatility3

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 mftparser -f file.dmp

{{#endtab}} {{#endtabs}}

NTFS datotečni sistem koristi kritičnu komponentu poznatu kao master file table (MFT). Ova tabela uključuje barem jedan unos za svaku datoteku na volumenu, pokrivajući i samu MFT. Vitalni detalji o svakoj datoteci, kao što su veličina, vremenske oznake, dozvole i stvarni podaci, su enkapsulirani unutar MFT unosa ili u oblastima van MFT-a, ali na koje se pozivaju ovi unosi. Više detalja može se naći u official documentation.

SSL Ključevi/Cerifikati

{{#tabs}} {{#tab name="vol3"}}

#vol3 allows to search for certificates inside the registry
./vol.py -f file.dmp windows.registry.certificates.Certificates

{{#endtab}}

{{#tab name="vol2"}}

#vol2 allos you to search and dump certificates from memory
#Interesting options for this modules are: --pid, --name, --ssl
volatility --profile=Win7SP1x86_23418 dumpcerts --dump-dir=. -f file.dmp

{{#endtab}} {{#endtabs}}

Malware

./vol.py -f file.dmp windows.malfind.Malfind [--dump] #Find hidden and injected code, [dump each suspicious section]
#Malfind will search for suspicious structures related to malware
./vol.py -f file.dmp windows.driverirp.DriverIrp #Driver IRP hook detection
./vol.py -f file.dmp windows.ssdt.SSDT #Check system call address from unexpected addresses

./vol.py -f file.dmp linux.check_afinfo.Check_afinfo #Verifies the operation function pointers of network protocols
./vol.py -f file.dmp linux.check_creds.Check_creds #Checks if any processes are sharing credential structures
./vol.py -f file.dmp linux.check_idt.Check_idt #Checks if the IDT has been altered
./vol.py -f file.dmp linux.check_syscall.Check_syscall #Check system call table for hooks
./vol.py -f file.dmp linux.check_modules.Check_modules #Compares module list to sysfs info, if available
./vol.py -f file.dmp linux.tty_check.tty_check #Checks tty devices for hooks

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f file.dmp malfind [-D /tmp] #Find hidden and injected code [dump each suspicious section]
volatility --profile=Win7SP1x86_23418 -f file.dmp apihooks #Detect API hooks in process and kernel memory
volatility --profile=Win7SP1x86_23418 -f file.dmp driverirp #Driver IRP hook detection
volatility --profile=Win7SP1x86_23418 -f file.dmp ssdt #Check system call address from unexpected addresses

volatility --profile=SomeLinux -f file.dmp linux_check_afinfo
volatility --profile=SomeLinux -f file.dmp linux_check_creds
volatility --profile=SomeLinux -f file.dmp linux_check_fop
volatility --profile=SomeLinux -f file.dmp linux_check_idt
volatility --profile=SomeLinux -f file.dmp linux_check_syscall
volatility --profile=SomeLinux -f file.dmp linux_check_modules
volatility --profile=SomeLinux -f file.dmp linux_check_tty
volatility --profile=SomeLinux -f file.dmp linux_keyboard_notifiers #Keyloggers

{{#endtab}} {{#endtabs}}

Skener sa yara

Koristite ovaj skript za preuzimanje i spajanje svih yara pravila za malver sa github-a: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9
Kreirajte rules direktorijum i izvršite ga. Ovo će kreirati datoteku pod nazivom malware_rules.yar koja sadrži sva yara pravila za malver.

{{#tabs}} {{#tab name="vol3"}}

wget https://gist.githubusercontent.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9/raw/4ec711d37f1b428b63bed1f786b26a0654aa2f31/malware_yara_rules.py
mkdir rules
python malware_yara_rules.py
#Only Windows
./vol.py -f file.dmp windows.vadyarascan.VadYaraScan --yara-file /tmp/malware_rules.yar
#All
./vol.py -f file.dmp yarascan.YaraScan --yara-file /tmp/malware_rules.yar

{{#endtab}}

{{#tab name="vol2"}}

wget https://gist.githubusercontent.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9/raw/4ec711d37f1b428b63bed1f786b26a0654aa2f31/malware_yara_rules.py
mkdir rules
python malware_yara_rules.py
volatility --profile=Win7SP1x86_23418 yarascan -y malware_rules.yar -f ch2.dmp | grep "Rule:" | grep -v "Str_Win32" | sort | uniq

{{#endtab}} {{#endtabs}}

MISC

Eksterni dodaci

Ako želite da koristite eksterne dodatke, uverite se da su fascikle povezane sa dodacima prvi parametar koji se koristi.

{{#tabs}} {{#tab name="vol3"}}

./vol.py --plugin-dirs "/tmp/plugins/" [...]

{{#endtab}}

{{#tab name="vol2"}}

volatilitye --plugins="/tmp/plugins/" [...]

{{#endtab}} {{#endtabs}}

Autoruns

Preuzmite ga sa https://github.com/tomchop/volatility-autoruns

volatility --plugins=volatility-autoruns/ --profile=WinXPSP2x86 -f file.dmp autoruns

Mutexes

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.mutantscan.MutantScan

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 mutantscan -f file.dmp
volatility --profile=Win7SP1x86_23418 -f file.dmp handles -p <PID> -t mutant

{{#endtab}} {{#endtabs}}

Simboličke veze

./vol.py -f file.dmp windows.symlinkscan.SymlinkScan

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f file.dmp symlinkscan

{{#endtab}} {{#endtabs}}

Bash

Moguće je pročitati bash istoriju iz memorije. Takođe možete izvući .bash_history fajl, ali je on onemogućen, bićete srećni što možete koristiti ovaj volatility modul

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp linux.bash.Bash

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f file.dmp linux_bash

{{#endtab}} {{#endtabs}}

Vremenska Linija

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp timeLiner.TimeLiner

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f timeliner

{{#endtab}} {{#endtabs}}

Drajveri

{{#tabs}} {{#tab name="vol3"}}

./vol.py -f file.dmp windows.driverscan.DriverScan

{{#endtab}}

{{#tab name="vol2"}}

volatility --profile=Win7SP1x86_23418 -f file.dmp driverscan

{{#endtab}} {{#endtabs}}

Uzmite sadržaj iz međuspremnika

#Just vol2
volatility --profile=Win7SP1x86_23418 clipboard -f file.dmp

Dobijanje IE istorije

#Just vol2
volatility --profile=Win7SP1x86_23418 iehistory -f file.dmp

Dobijanje teksta iz beležnice

#Just vol2
volatility --profile=Win7SP1x86_23418 notepad -f file.dmp

Screenshot

#Just vol2
volatility --profile=Win7SP1x86_23418 screenshot -f file.dmp

Master Boot Record (MBR)

volatility --profile=Win7SP1x86_23418 mbrparser -f file.dmp

Master Boot Record (MBR) igra ključnu ulogu u upravljanju logičkim particijama skladišnog medija, koje su strukturirane sa različitim file systems. On ne samo da sadrži informacije o rasporedu particija, već takođe sadrži izvršni kod koji deluje kao boot loader. Ovaj boot loader ili direktno pokreće drugi deo procesa učitavanja OS-a (vidi second-stage boot loader) ili radi u harmoniji sa volume boot record (VBR) svake particije. Za detaljno znanje, pogledajte MBR Wikipedia page.

References

• https://andreafortuna.org/2017/06/25/volatility-my-own-cheatsheet-part-1-image-identification/
• https://scudette.blogspot.com/2012/11/finding-kernel-debugger-block.html
• https://or10nlabs.tech/cgi-sys/suspendedpage.cgi
• https://www.aldeid.com/wiki/Windows-userassist-keys ​* https://learn.microsoft.com/en-us/windows/win32/fileio/master-file-table
• https://answers.microsoft.com/en-us/windows/forum/all/uefi-based-pc-protective-mbr-what-is-it/0fc7b558-d8d4-4a7d-bae2-395455bb19aa

{{#include ../../../banners/hacktricks-training.md}}