Volatility Lab 

Image Wanna.vmem

P.73

windows.info

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' windows.info

 

  

P.76

#windows.pslist

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' -r pretty windows.pslist

P.78

#windows.psscan

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' -r pretty windows.psscan

#windows.pstree

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' -r pretty windows.pstree

P.88

#windows.cmdline     

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' windows.cmdline  

P.89

 $ python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' windows.dlllist  --pid 4296 4240

P.90

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' windows.handles --pid 4296 

 P.92

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' windows.netscan  

       

P.97

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' windows.ldrmodules

Normal DLL

     │

     ├── InLoad = True

     ├── InInit = True

     └── InMem  = True

Suspicious Module

     │

     ├── InLoad = False

     ├── InInit = False

     └── InMem  = False

P.104

#python3  vol.py   -f '/home/kali/Desktop/Wanna/Wanna-MEM.vmem' yarascan.YaraScan --yara-file '/home/kali/Desktop/yara/RANSOM_MS17-010_Wannacrypt.yar'

Link Yara 

• MS17-010
• indicators-associated-wanna
• 
  
  

อ่าน เพิ่ม 

• Memory Forensics
• Exercise – Capturing RAM Memory
• The Memory Process File System (MemProcFS)
• DumpIt
• How to analyze a VMware memory image with Volatility
• volatility-workbench
• Memory Forensic Tools

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD