Forensik Memori (RAM)

Panduan lengkap Volatility Framework, analisis proses, deteksi anomali, dan artefak Windows untuk investigasi profesional.

24 dari 24 perintah ditampilkan

imageinfoInformasi Sistem

Identifikasi profil OS dari memory dump

CONTOH PERINTAH

volatility -f mem.dmp imageinfo

CONTOH OUTPUT

Suggested Profile(s) : Win7SP1x64, Win7SP0x64

kdbgscanInformasi Sistem

Cari KDBG structures untuk identifikasi profil

CONTOH PERINTAH

volatility -f mem.dmp kdbgscan

CONTOH OUTPUT

Instantiating KDBG using: Kernel AS Win7SP1x64...

pslistProses

Daftar proses dari linked list (bisa disembunyikan malware)

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 pslist

CONTOH OUTPUT

Name PID PPID Thds Hnds Start

pstreeProses

Proses dalam format pohon (tampilkan parent-child)

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 pstree

CONTOH OUTPUT

Name             Pid   PPid   Thds  Hnds Time
. explorer.exe 1234  676    26    800

psscanProses

Scan pool tags - menemukan proses tersembunyi yang tidak di linked list

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 psscan

CONTOH OUTPUT

(menemukan proses yang disembunyikan rootkit)

cmdlineProses

Tampilkan command line setiap proses

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 cmdline

CONTOH OUTPUT

cmd.exe pid: 3691
Command line : cmd.exe /c whoami

cmdscanProses

Scan COMMAND_HISTORY dan CONSOLE_INFORMATION

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 cmdscan

CONTOH OUTPUT

CommandProcess: csrss.exe Pid: 348
Cmd #0 @ 0x2ef3e0: whoami

netscanJaringan

Scan koneksi jaringan aktif dan sockets

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 netscan

CONTOH OUTPUT

Offset Proto LocalAddr:Port ForeignAddr:Port State PID

connectionsJaringan

Koneksi TCP aktif (XP/2003 saja)

CONTOH PERINTAH

volatility -f mem.dmp --profile=WinXPSP2x86 connections

CONTOH OUTPUT

Offset(V) Local Address Remote Address Pid

socketsJaringan

Socket yang mendengarkan (XP/2003 saja)

CONTOH PERINTAH

volatility -f mem.dmp --profile=WinXPSP2x86 sockets

CONTOH OUTPUT

Offset(V) PID Port Proto Address Create Time

dlllistDLL & Modul

Daftar DLL yang dimuat per proses

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 dlllist -p 1234

CONTOH OUTPUT

Process: malware.exe PID: 1234
0x00400000  malware.exe

modscanDLL & Modul

Scan pool tags untuk kernel modules (menemukan rootkit)

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 modscan

CONTOH OUTPUT

(menemukan driver tersembunyi)

hivelistRegistri

Daftar registry hives yang dimuat di memory

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 hivelist

CONTOH OUTPUT

Virtual          Physical Name
0x...      SYSTEM
0x...      SOFTWARE

printkeyRegistri

Cetak isi registry key

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 printkey -K "SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

CONTOH OUTPUT

REG_SZ malware: C:\malware.exe

memdumpDump & Ekstraksi

Dump memory proses tertentu ke file

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 memdump -p 1234 -D /output/

CONTOH OUTPUT

Writing 1234.dmp ...

procdumpDump & Ekstraksi

Dump executable proses ke disk

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 procdump -p 1234 -D /output/

CONTOH OUTPUT

Dumping malware.exe, pid: 1234 output: executable.1234.exe

stringsDump & Ekstraksi

Ekstrak strings dari memory dump

CONTOH PERINTAH

strings mem.dmp | grep -i "password\|flag\|secret"

CONTOH OUTPUT

password123
FLAG{hidden_in_memory}

malfindMalware

Temukan code injection dan shellcode

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 malfind

CONTOH OUTPUT

Process: svchost.exe Pid: 748
Vad Tag: VadS Protection: PAGE_EXECUTE_READWRITE

hollowfindMalware

Deteksi process hollowing

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 hollowfind

CONTOH OUTPUT

(mendeteksi proses yang VAD tidak sesuai disk)

ldrmodulesMalware

Deteksi DLL injection (DLL di memory tapi tidak di linked list)

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 ldrmodules

CONTOH OUTPUT

False True False (injected DLL terdeteksi)

filescanFile & Artifact

Scan pool tags untuk FILE_OBJECTs

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 filescan | grep -i ".txt\|.docx"

CONTOH OUTPUT

Offset(P) #Ptr #Hnd Access Name

dumpfilesFile & Artifact

Dump files dari memory ke disk

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 dumpfiles -Q 0x12345 -D /output/

CONTOH OUTPUT

DataSectionObject 0x12345 None file.None.0x12345.dat

hashdumpKata Sandi

Dump password hashes dari SAM database

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 hashdump

CONTOH OUTPUT

Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

lsadumpKata Sandi

Dump LSA secrets

CONTOH PERINTAH

volatility -f mem.dmp --profile=Win7SP1x64 lsadump

CONTOH OUTPUT

DefaultPassword: MyP@ssw0rd