Análise de despejo de memória

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Você trabalha em uma empresa de cibersegurança? Gostaria de ver sua empresa anunciada no HackTricks? ou gostaria de ter acesso à última versão do PEASS ou baixar o HackTricks em PDF? Confira os PLANOS DE ASSINATURA!
Descubra A Família PEASS, nossa coleção exclusiva de NFTs
Adquira o swag oficial do PEASS & HackTricks
Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-me no Twitter 🐦@carlospolopm.
Compartilhe seus truques de hacking enviando PRs para o repositório hacktricks e repositório hacktricks-cloud.

RootedCON é o evento de cibersegurança mais relevante na Espanha e um dos mais importantes na Europa. Com a missão de promover o conhecimento técnico, este congresso é um ponto de encontro fervilhante para profissionais de tecnologia e cibersegurança em todas as disciplinas.

{% embed url="https://www.rootedcon.com/" %}

Início

Comece procurando por malware dentro do pcap. Use as ferramentas mencionadas em Análise de Malware.

Volatility

Volatility é o principal framework de código aberto para análise de despejo de memória. Esta ferramenta em Python analisa despejos de fontes externas ou máquinas virtuais VMware, identificando dados como processos e senhas com base no perfil do sistema operacional do despejo. É extensível com plugins, tornando-o altamente versátil para investigações forenses.

Encontre aqui uma folha de dicas

Relatório de falha de despejo de mini despejo

Quando o despejo é pequeno (apenas alguns KB, talvez alguns MB), então provavelmente é um relatório de falha de despejo de mini despejo e não um despejo de memória.

Se você tiver o Visual Studio instalado, você pode abrir este arquivo e vincular algumas informações básicas como nome do processo, arquitetura, informações de exceção e módulos em execução:

Você também pode carregar a exceção e ver as instruções decompiladas

De qualquer forma, o Visual Studio não é a melhor ferramenta para realizar uma análise em profundidade do despejo.

Você deve abri-lo usando IDA ou Radare para inspecioná-lo em profundidade.