Escenario: dos salidas de memoria, una limpia y una dudosa; decidir y justificar

El equipo de triaje analiza dos salidas de Volatility sobre dos servidores críticos. En el primero, todas las instancias de svchost.exe presentan páginas de memoria respaldadas en disco con permisos de solo lectura y conexiones a IPs del Active Directory interno. En el segundo servidor, una instancia de svchost.exe (PID 4108) presenta una región VAD con permisos PAGE_EXECUTE_READWRITE no respaldada en disco y una conexión activa hacia la IP 198.51.100.99 en el puerto 8443, confirmando inyección de código y balizamiento externo.

Consulta en la tabla pslist_malfind el tag de descriptor de área virtual (vad_tag) asociado a la región.

Lección tras el caso {#leccion}

El análisis de memoria RAM representa la última frontera de la verdad en un incidente: allí donde las técnicas avanzadas de evasión logran desenganchar procesos de las listas del kernel o inyectar shellcodes en procesos legítimos como svchost.exe sin tocar el disco, la memoria expone páginas con permisos anómalos de ejecución y escritura (RWX), conexiones activas en sockets ocultos y configuraciones en texto claro. No obstante, el cazador riguroso reconoce los límites intrínsecos de la volatilidad: la memoria es una fotografía de un instante fugaz y debe siempre correlacionarse con la telemetría persistente de la línea de tiempo forense.