- Регистрация
- 18 Сен 2026
- Сообщения
- 5
- Реакции
- 0
- Баллы
- 1
При расследовании инцидентов ИБ анализа жёсткого диска недостаточно. Оперативная память — это снимок живого состояния системы: в ней остаются следы вредоносных программ, действия злоумышленника и недавно открытые документы. Для цифровой криминалистики это настоящая сокровищница.
Шаг 1. Снятие дампа памяти
В Windows удобно использовать FTK Imager. Нужны права администратора — программа обращается к \Device\PhysicalMemory. Запускаем, выбираем File → Capture Memory, указываем путь и при необходимости включаем pagefile.sys. На выходе — файл с расширением DMP.
Шаг 2. Анализ в Volatility
Основной инструмент — фреймворк Volatility. Устанавливается через pip. Позволяет извлекать процессы, сетевые соединения, библиотеки и другие артефакты.
Шаг 3. Поиск процессов
Команда windows.pstree показывает дерево активных процессов с PID и временем запуска. Для завершённых процессов — windows.psscan. Так находим, например, WINWORD.EXE.
Шаг 4. Поиск открытого документа
Плагин handles с указанием PID и фильтром по файлам помогает найти упоминания DOCX или DOCM. Документ есть в памяти, но пока не извлечён.
Шаг 5. Извлечение файла
Плагин filescan сканирует память и выдаёт список файлов со смещениями. Находим нужный, определяем адрес и командой dumpfiles извлекаем его в папку. Файлы обычно с техническими именами — переименовываем, подставляя правильное расширение. Делать это лучше в изолированной виртуальной машине: в документах Office могут быть вредоносные макросы.
Итог
Связка FTK Imager + Volatility позволяет пошагово восстановить действия пользователя и извлечь нужные файлы. Метод применим как в расследовании кибератак, так и в обычных уголовных делах. Анализ дампов памяти — мощный инструмент цифровой криминалистики, ведь память хранит то, чего не видно при обычном просмотре файловой системы.