Qué contiene una imagen de memoria

2 tareas · 40 min · Principiante

0 de 2 · 0%

Un volcado de memoria física (RAM) contiene el estado ejecutable exacto del sistema en el instante de la captura: estructuras del kernel (EPROCESS, ETHREAD), memoria privada de procesos, bibliotecas cargadas, sockets de red abiertos, contraseñas y claves criptográficas en texto claro, así como código inyectado directamente en memoria que jamás tocó el disco duro.

Responde para continuar

¿Cuál es la característica distintiva de la memoria RAM frente al análisis de disco duro para cazar amenazas?

Requiere que el equipo esté completamente apagado antes de iniciar la recolección Garantiza que ningún proceso del kernel de Windows pueda ejecutar código ensamblador Contiene código inyectado, claves de cifrado en texto plano y artefactos volátiles que no residen en el almacenamiento secundario Solo registra la información de los usuarios que han cerrado sesión voluntariamente

Ver pista de ayuda

La memoria física alberga la verdad volátil en ejecución, incluyendo inyecciones y claves en vivo.

Consulta en la tabla pslist_malfind el valor de la columna protection para el proceso 4108.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué permisos de protección (protection) presenta la página inyectada en pslist_malfind?

Ver pista de ayuda

Copia el valor de la columna protection en la primera fila de pslist_malfind.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Memoria RAM · Volatility 3 & MemProcFS

Memory Forensics Analysis Framework (Volatility v3)

Tablas

pslist_malfind

pid
ppid
image_name
vad_tag
protection
commit_charge
decision

netscan_memory

pid
process_name
local_addr
local_port
foreign_addr
foreign_port
state

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 El mapa de la memoria volátil en tiempo de ejecución

2 Permisos de memoria detectados por malfind Lab

Whoami-Labs Pro utiliza cookies