Qué es un volcado de memoria y por qué importa

Bienvenida

Bienvenido a Volatility: primeros pasos en forense de memoria. Esta píldora es para quien empieza en un SOC, en soporte o en respuesta a incidentes y necesita saber qué corría dentro de un Windows en el momento del problema. Al terminar podrá capturar la memoria de una VM propia, calcular su hash, instalar Volatility 3 y leer procesos, conexiones y argumentos con cinco plugins.

Conviene manejar la terminal y Windows a nivel básico. Necesita una VM Windows propia, una VM Linux de análisis con Python 3 e internet. Son cuatro lecciones cortas, un laboratorio con un volcado público y un extracto ficticio con solución, y un quiz de 4 preguntas: unos 55 minutos.

Qué es un volcado de memoria

Todo lo que un equipo encendido está haciendo pasa por la RAM: los programas abiertos, las conexiones de red, el comando que alguien escribió hace dos minutos. Al apagarlo, se pierde.

Un volcado de memoria (memory dump) es una copia byte por byte de esa RAM en un instante. Una VM con 4 GB de RAM produce un archivo de unos 4 GB. Abierto en un editor de texto no dice nada: son estructuras internas del kernel mezcladas con datos de los programas. Hace falta una herramienta que sepa dónde mirar.

Si el disco es el archivador de una oficina, la memoria es el escritorio a media mañana: los papeles abiertos, la llamada en curso, quién está sentado.

Qué es Volatility y por qué importa

Volatility es un framework libre en Python que reconoce esas estructuras y las devuelve como tablas. El nombre viene de volatile memory, la que se borra al cortar la corriente. Lo mantiene la Volatility Foundation, y Volatility 3 es una reescritura completa en Python 3 que reemplaza a la versión 2. Si encuentra un tutorial que usa --profile=Win7SP1x64, es de la versión 2: en la 3 ya no existen los perfiles.

Funciona con plugins, cada uno responde una pregunta ("qué procesos había", "qué conexiones") y se nombran con el patrón sistema.plugin, por ejemplo windows.pslist. Es la herramienta que va a encontrar en casi cualquier SOC, equipo de respuesta o reto de forense.

Qué evidencia vive solo en RAM

• Procesos en ejecución, con su padre y su hora de inicio.
• Líneas de comandos completas, incluidos argumentos que nunca quedan en un historial.
• Conexiones de red abiertas o recientes, con el proceso dueño.
• Código cargado sin archivo en disco, típico de las técnicas fileless.
• Fragmentos de documentos, URL y claves que estaban en uso.

Un atacante puede borrar archivos y vaciar el visor de eventos. Esconder lo que está corriendo mientras el equipo sigue encendido le cuesta bastante más.

Cuándo se usa en un incidente

El orden de volatilidad dice que se recolecta primero lo que se pierde antes, y la RAM va antes que el disco. El error que más se repite en una oficina es el reflejo de "apáguelo ya" cuando alguien ve algo raro. Si llega a una estación comprometida que sigue encendida, capture la memoria primero; después decida si la aísla de la red o la apaga.