Análisis forense con Volatility en Virtualbox y Ubuntu

Un análisis de la memoria es una parte de un análisis forense y la motivación es dispar: analizar una posible intrusión, obtener pruebas para probar un posible delito, existencia y comportamiento del malware, etc.

El análisis de memoria puede proporcionar información muy valiosa, ya que podemos ver el estado de la máquina en el momento de la captura. Esto puede mostrarnos conexiones de red existentes, claves criptográficas, procesos, ficheros abiertos, usuarios conectados…​ en definitiva, mucha información que con el apagado del sistema desaparecerá.

Volatility Framework es un conjunto de utilidades implementadas en Python cuyo objetivo es la extracción de la información de una captura de memoria RAM. El framework está mantenido por la Volatility Foundation, que es una fundación sin ánimo de lucro que promueve la existencia de herramientas forense para el análisis de memoria open source.

Es un Framework porque propone y define la estructura y las interfaces que las utilidades más específicas deberán implementar para poder integrarse y de ese modo beneficiarse de toda la funcionalidad que el framework proporciona. Además todo el framework puede utilizarse como librería, de modo que es factible utilizar Volatility dentro de otras herramientas. Hay que destacar que el framework se encarga exclusivamente de la fase de análisis, para el proceso de adquisición se deberán utilizar otras herramientas.

Aunque se trate de un framework, en un análisis forense generalmente se utilizará la utilidad de línea de comandos que proporciona ya que desde esta utilidad puede accederse a toda la funcionalidad.

La utilidad ofrece soporte para el análisis de distintos sistemas operativos como Linux, MacOS y Windows, formatos de paginación de diferentes arquitecturas como intel32, amd64 y ARM y formatos del espacio de direcciones en disco (que dependerán de la herramienta de adquisición). Esto lo veremos para el caso concreto que nos ocupa.

Ya existe un paquete en la distribución Ubuntu 16.04 con la versión 2.5 del framework. Sin embargo hace tiempo que está disponible la versión 2.6 que ofrece soporte a sistemas como Windows 10 y el soporte a Virtualbox que nos ocupa funciona correctamente. Por ello instalaremos la última versión disponible.

Debido a que en este artículo no vamos a analizar cómo funciona ni a incorporar nuevas funcionalidades, por simplicidad vamos a utilizar el paquete que viene con una versión ya compilada:

Podremos ver que funciona simplemente con:

Si invocamos con la opción info veremos los perfiles de sistema que soporta así como los formatos del espacio de direcciones y plugins disponibles:

Si observamos, en Plugins hay un montón que empiezan por linux_, estos serán los que tengamos a nuestra disposición para el análisis. En Address Spaces tenemos LinuxAMD64PagedMemory y VirtualBoxCoreDumpElf64 lo que nos permitirá analizar un volcado de memoria de una máquina virtual VirtualBox. Sin embargo…​ ¡no hay ningún Profile disponible con un perfil de Linux!. Esto se debe a que para cada compilación del núcleo será diferente y deberemos crearlo nosotros "a mano".

Llegados a este punto te preguntarás ¿qué es un perfil de Volatility? y…​ ¿por qué es necesario crearlo para cada compilación del núcleo?.

Pues bien, no se nos escapará que un volcado de memoria no es más que un bloque enorme de bits, para poder analizarlo es necesario en primer lugar estructurar e identificar las páginas de memoria (los sistemas operativos modernos hacen uso del sistema de memoria virtual que ofrecen las arquitecturas y que divide la memoria en páginas) y a continuación identificar las estructuras básicas del núcleo del sistema operativo en las que están albergadas la información de los procesos y su paginación. Para ello Volatility debe:

Y esto es básicamente un perfil: dónde están las estructuras y cómo se mapean a los tipos de datos de Volatility. Los tipos de datos de Volatility son una abstracción que utiliza el framework que hacen posible trabajar con distintos tipos de sistemas operativos y arquitecturas.

Es obvio que las estructuras pueden cambiar entre versiones del kernel: el kernel está muy vivo y cambia continuamente (no ocurre lo mismo con su interfaz, que debe permanecer estable). Pero las estructuras también cambian cuando se realiza una compilación nueva, ya que existen mecanismos de seguridad que aleatorizan el contenido de dichas estructuras y la ubicación en memoria. Por todo ello es necesario crear un nuevo perfil para cada compilación.

Sin embargo tenemos la "ventaja" de que, al usar una distribución, los paquetes con los kernels distribuidos son genéricos e idénticos para todas las máquinas en las que se instalan, por ello es posible realizar un perfil para cada nuevo paquete de kernel. Existe un repositorio oficial de Volatility que contiene perfiles generados en https://github.com/volatilityfoundation/profiles , sin embargo no se encuentra actualizado y tendremos generarlos nosotros mismos.

Vamos a crear un perfil, podríamos hacerlo en cualquier máquina que tuviera el mismo kernel instalado que el de la máquina que queramos analizar. Sin embargo, por comodidad y para no ensuciar la máquina, lo que hago es:

Evidentemente en el mundo real NO será posible hacerlo así, es más:

Para crear el perfil tras tomar el snapshot habría que:

Con esto tendríamos el fichero U1604_4.4.0-103-generic.zip que tendríamos que copiar vía ssh o alguna carpeta compartida a nuestra máquina de análisis. Y devolveríamos al snapshot antes de "enmarranar" el sistema.

El proceso de adquisición de memoria es una tarea compleja en máquinas físicas, pero en virtuales es coser y cantar. En el caso de VirtualBox, con la máquina obviamente encendida basta con:

Esto genera un fichero lamp.elf con el contenido de la memoria máquina virtual lamp. Este fichero usa una estructura ELF64 y puedes obtener más información aquí.

Para poder analizar la memoria, primero hay que instalar el perfil. Por sencillez y para que esté disponible para más usuarios de la máquina, vamos a copiarlo dentro del directorio antes creado:

Crearemos un fichero básico de configuración .volatilityrc para nuestro usuario que ubicaremos en nuestro home:

Con esto le estaremos indicando a volatility que tenga en cuenta los plugins que se encuentran en dicho directorio. Podemos ejecutar con la opción info y comprobar que el perfil se encuentra disponible:

Con esto instalado, ya podemos realizar el análisis de memoria de nuestra captura. En primer lugar, comprobaremos utilizando el plugin vboxinfo que nuestra imagen está soportada:

Podemos obtener un listado de los plugins que tenemos disponibles con:

Ahora vemos a utilizar nuestro profile recién creado, para ello indicaremos el nombre del perfil junto al plugin que deseamos utilizar:

Si queremos evitar estar indicando el profile y el fichero de imagen en cada comando, podemos exportar las variables de entorno:

Ahora basta ejecutar el comando con el plugin, a continuación algunos ejemplos de la potencia de esta herramienta:

Y con esto creo que ya vale por hoy, como habrás podido comprobar realmente no hemos hecho más que rascar la superficie de lo que podemos hacer con esta potentísima herramienta. Es posible que en el futuro haga algún artículo más avanzado, pero si quieres profundizar te recomiendo encarecidamente el excelente libro: The Art of Memory Forensics.

Espero que poder realizar el análisis de la memoria de una máquina virtual te haya hecho más feliz, si es así comparte si te ha gustado y…​ ¡ happy hacking ! ;)