Memory Forensics: Análisis de Memoria Completo

Sobre esta serie

La memoria RAM es donde el malware vive cuando se ejecuta. Muchas amenazas modernas operan exclusivamente en memoria (fileless malware), sin dejar artefactos en disco. El análisis forense de memoria permite detectar procesos inyectados, rootkits, credenciales en claro, conexiones de red ocultas y artefactos que ninguna otra técnica forense puede revelar. Esta serie cubre el ciclo completo con Volatility 3 como herramienta principal.

Para quién es

• Analistas de malware que necesitan analizar samples en ejecución
• Peritos forenses que trabajan con volcados de memoria en investigaciones
• Equipos DFIR que responden a incidentes con malware fileless
• Threat hunters que buscan indicadores en memoria de endpoints comprometidos
• Analistas SOC avanzados que investigan alertas de inyección de procesos

Estructura

Bloque 1: Fundamentos y adquisición (artículos 1-3) Conceptos de memoria virtual, técnicas de adquisición (WinPmem, LiME, DumpIt), formatos de dumps y verificación de integridad.

Bloque 2: Análisis con Volatility 3 (artículos 4-7) Instalación y configuración, análisis de procesos (pslist, pstree, cmdline), análisis de red (netscan, netstat), y análisis de handles, DLLs y VADs.

Bloque 3: Detección de amenazas (artículos 8-10) Detección de inyección de código (malfind, hollowfind), hunting de rootkits en memoria, y extracción de strings, credenciales y claves de cifrado.

Bloque 4: Escenarios avanzados (artículos 11-12) Análisis de memoria Linux con Volatility 3, y análisis de memoria en entornos virtualizados y cloud (VMware snapshots, Hyper-V, AWS).

Nivel

Intermedio. Se asume familiaridad con conceptos de sistemas operativos (procesos, memoria virtual, kernel). Cada artículo incluye ejercicios prácticos con dumps de memoria de CTFs y samples controlados.