Análisis de un volcado de memoria RAM de un equipo

Actividades[pic 1]

Trabajo: Análisis de un volcado de memoria RAM de un equipo

En esta actividad tendremos que realizar el análisis de un volcado de memoria RAM de un equipo.

Para realizar un análisis exhaustivo de un volcado de memoria RAM es necesario hacer uso de frameworks como Volatility (https://www.volatilesystems.com/default/volatility), que permiten realizar multitud de acciones sobre el volcado obtenido. Pero dada la complejidad de uso del mismo, para la realización de la presente actividad solo va a ser necesario el uso de los programas: WinHex, en su versión 16.6 y PhotoRec, este último para la recuperación de archivos dentro del propio volcado.

Antes de comenzar la actividad, lo primero es descargar el archivo que contiene el volcado de la memoria RAM del equipo, disponible en:

https://www.dropbox.com/s/z9sc99i4x8drrg4/memory.dump

El volcado, pertenece a un equipo que fue incautado por la Policía Nacional al atracador de la pizzería Telepizza, de la calle Gaztambide, en la zona de Moncloa, en Madrid.

Los policías que incautaron el equipo, realizaron un volcado de la memoria RAM y posteriormente lo apagaron «tirando del cable». Al llegar a tus manos, descubres que el equipo carece de disco duro, por lo que lo único que tienes para analizar es el volcado realizado por la Policía, quien te comenta que antes de apagarlo les pareció ver un documento de texto y una página web abiertos en el equipo, aunque minimizados.

También te comentan que el atraco fue realizado a punta de pistola, con una pistola marca Beretta, modelo 92FS.

La actividad consiste en responder en un documento de texto a las siguientes preguntas que os realiza el equipo de investigación de la Policía:

• ¿Qué página web estaba visitando el atracador?
• ¿Fue planificado el ataque o fue fortuito?
• ¿Se pueden recuperar, del volcado de la memoria RAM, las imágenes que estaba visualizando el detenido?

Como ayuda, comentar que prácticamente todo lo que se está escribiendo en un programa, se puede obtener en claro de la memoria RAM, por lo que búsquedas por palabras como «Telepizza» o «Gaztambide» pueden ser interesantes.

Por otro lado, para responder a la tercera pregunta que hace la policía, decir que se puede realizar una recuperación de archivos sobre un volcado de la memoria RAM, por lo que sería interesante utilizar el programa PhotoRec, antes mencionado (probando con distintas opciones del mismo), para ver qué se obtiene.

...