Volatility

Фреймворк реализует модульную архитектуру: функциональность предоставляют независимые плагины, которые можно комбинировать или расширять собственными скриптами. Основные возможности включают:

• Извлечение информации о процессах — плагины pslist, psscan, pstree выводят список активных процессов, их идентификаторы (PID/PPID) и загруженные библиотеки, что помогает обнаруживать скрытые или подозрительные процессы^[3].
• Анализ сетевых соединений — плагины netscan и connscan отображают активные сетевые сокеты и подключения, позволяя выявить взаимодействие с командно-контрольными серверами или аномальную сетевую активность^[1].
• Обнаружение вредоносного ПО — плагин malfind ищет инъектированный исполняемый код, а комбинация psscan/pstree позволяет детектировать скрытые процессы и руткиты^[4].
• Исследование файловых артефактов — плагин filescan ищет открытые файлы и их пути, что помогает анализировать взаимодействие процессов с данными^[1] .
• Анализ реестра — плагины dumpregistry, hivescan, hivelist, printkey и userassist извлекают ульи реестра, отображают содержимое ключей и позволяют восстановить информацию о пользователях или конфигурации системы^[5].
• Поддержка разных ОС и форматов дампов — Volatility анализирует образы памяти Windows, Linux, macOS и 32-битных устройств Android, принимая «сырые» дампы, файлы гибернации, crash dumps, а также снимки VMware и VirtualBox^[1] .
• Создание временных шкал событий — встроенные средства таймлайнинга позволяют восстановить последовательность действий, предшествовавших инциденту^[1] .
• Автоматизация и отчётность — скриптуемый API и улучшенное автоматическое определение профиля образа (в Volatility 3) упрощают массовый анализ и формирование отчётов^[6].

Volatility применяется в самых разных сценариях цифровой криминалистики:

• Анализ вредоносного ПО. Фреймворк выявляет «бесфайловые» (fileless) вредоносы, инъекции кода и упакованные исполняемые файлы, позволяя извлекать подозрительные процессы для последующего статического анализа либо отправки на VirusTotal.
• Реагирование на инциденты. При расследовании атак плагины imageinfo и pslist помогают быстро определить версию ОС, список процессов и масштабы компрометации, а netscan — связаться ли система с C2-инфраструктурой злоумышленников^[7].
• Поиск учётных данных. Плагины lsadump и cachedump извлекают секреты LSA и кэшированные хеши паролей, что позволяет оценить, были ли скомпрометированы привилегированные аккаунты^[8].
• Реконструкция действий пользователя. На системах Linux плагин bash позволяет восстановить историю команд, а на Windows — ключи User Assist показывают, какие приложения запускал пользователь.
• Обнаружение скрытых модулей ядра. Плагины modscan и dlllist помогают выявить аномальные или нерезидентные драйверы и DLL-библиотеки, загруженные в память, что характерно для руткитов и других средств укрытия присутствия^[3].