Por que volcar la memoria RAM

portadaDump de memoria RAM — forense digital

En un analisis forense es de vital importancia conseguir una copia exacta del sistema a analizar, incluyendo la memoria RAM. La RAM tiene una importancia especial por su volatilidad: los datos se pierden en el instante en que el sistema pierde alimentacion electrica.

Por este motivo, capturar la memoria RAM es una de las primeras acciones en la recogida de evidencias. Una vez obtenido el volcado, podemos analizarlo sin alterar ningun dato del sistema original.

🔑 Que contiene la RAM que nos interesa: Procesos en ejecucion (incluyendo malware), conexiones de red activas, contrasenas en texto plano o parcialmente cifradas, claves de cifrado, artefactos de malware fileless, registros del sistema, historial de portapapeles y mucho mas.

⏳ Evidencia volatil — actua rapido: La RAM es la evidencia mas volatil de un sistema. Cualquier reboot, apagado o incluso la ejecucion de demasiados procesos puede sobrescribir informacion critica. El volcado debe ser la primera tarea en cualquier respuesta a incidentes.

💾

Herramienta 1 — Adquisicion CLI

win32dd / win64dd

Herramienta de linea de comandos para captura directa de la RAM tal como esta en el momento de la ejecucion. Usa la version segun el SO: win32dd (32 bits) o win64dd (64 bits).

Windows CLI Gratuita

Comando de uso

CMD (Admin) — Windows

# Desde la ruta donde este el .exe
win64dd.exe /r /a /f dump.img

# Equivalente para sistemas de 32 bits
win32dd.exe /r /a /f dump.img

Descripcion de flags

Flag	Descripcion
/r	Crea el archivo de volcado de memoria (raw dump)
/a	Responde "si" automaticamente a todas las preguntas del proceso
/f	Especifica el nombre del fichero de salida (destination file)

CMDwin64dd en ejecucion — info del SO, capacidad RAM, memoria disponible

Durante la ejecucion se muestra informacion sobre el sistema operativo, la capacidad total de la memoria y la cantidad disponible. Al finalizar:

CMDResultado final win64dd — tiempo empleado, tamaño del fichero y paginas escritas

💡 Tiempo de ejecucion: La duracion del volcado depende directamente de la cantidad de RAM instalada. Un sistema con 2 GB tardara significativamente menos que uno con 16 GB o mas. Planifica el tiempo disponible antes de iniciar la captura.

📋

Herramienta 2 — Adquisicion CLI avanzada

DumpIt

Herramienta de linea de comandos ampliamente utilizada en analisis forense digital. Su funcion principal es la adquisicion de memoria RAM en vivo, con opciones para comprimir la imagen y mostrar informacion del sistema.

Windows CLI Gratuita

Uso basico

CMD (Admin) — uso minimo

# Ejecucion basica — genera dump en el directorio actual
DumpIt.exe

# Especificar nombre de fichero de salida
DumpIt.exe /output volcado_ram.raw

# Comprimir la imagen de salida
DumpIt.exe /compress /output volcado.zip

CMDDumpIt — inicio de la captura de memoria

CMDDumpIt — proceso de volcado en curso con progreso

Opciones avanzadas

Opcion	Descripcion
/output <file>	Especifica el nombre del archivo de salida
/compress	Comprime la imagen de memoria para ahorrar espacio en disco
/info	Muestra informacion del SO y la RAM antes de la captura

⚠ Requiere administrador: DumpIt debe ejecutarse con privilegios de administrador. Sin ellos, no podra acceder al dispositivo fisico de memoria. Clic derecho → "Ejecutar como administrador".

💾 Tamano del fichero: El archivo generado ocupara aproximadamente el mismo tamaño que la RAM instalada en el sistema (ej: 8 GB de RAM → ~8 GB de fichero). Asegurate de tener suficiente espacio en el destino — siempre en un disco diferente al que se esta analizando.

📷

Herramienta 3 — Adquisicion GUI

FTK Imager

Herramienta grafica (GUI) que permite hacer un volcado exacto de la memoria fisica y examinar su contenido directamente: procesos activos, conexiones, contrasenas residuales y datos del sistema operativo.

Windows GUI Gratuita

Proceso de volcado con FTK Imager

Ejecuta FTK Imager y haz clic en el icono "Capture Memory" en la barra de herramientas.

En la ventana que aparece, haz clic en "Browse" junto a "Destination path" para seleccionar la carpeta donde se guardara el volcado.

Haz clic en "Capture Memory" para iniciar el volcado. El tiempo dependera de la cantidad de RAM instalada.

Una vez completado, puedes verificar la integridad del volcado con clic derecho → "Verify drive/image" para comprobar el hash MD5 o SHA1.

FTK ImagerFTK Imager — icono Capture Memory en la barra de herramientas

FTK ImagerFTK Imager — visualizacion del volcado: inicio con ceros, luego datos reales de la RAM

FTK ImagerFTK Imager — procesos activos y conexiones visibles en el volcado de RAM

🔑 Ventaja del entorno grafico: FTK Imager permite examinar el contenido del volcado inmediatamente despues de la captura: contrasenas almacenadas en RAM al iniciar sesion en portales web, procesos activos con sus conexiones, version del SO y mucho mas — todo desde la misma interfaz.

🔗 Descarga: FTK Imager puede descargarse desde accessdata.com/product-download

Otras Herramientas de Adquisicion

SysInternals

NotMyFault

Herramienta de Sysinternals que puede forzar volcados del kernel de Windows. Disponible en live.sysinternals.com.

Gratuita

SystemDump

Herramienta alternativa para la captura de volcados de memoria del sistema en Windows.

SysInternals

LiveKD

Permite ejecutar el depurador del kernel de Windows (KD/WinDbg) en un sistema activo sin necesidad de reiniciar en modo depuracion.

Herramientas de Analisis del Volcado

Un fichero RAW de salida no es legible con un editor de texto o un visor hexadecimal basico. Se necesitan herramientas especializadas en forense de memoria:

01 — Open Source

Volatility

Framework de codigo abierto ampliamente usado. Extrae procesos, conexiones de red, estructuras del SO, malware y contrasenas. Gran ecosistema de plugins. Incluido en Kali Linux.

02 — Open Source

Rekall

Similar a Volatility, con funcionalidades robustas para extraccion de estructuras de datos, procesos y actividad de red. Derivado del proyecto Volatility.

03 — Open Source

The Sleuth Kit & Autopsy

TSK es una coleccion de herramientas CLI para analisis de sistemas de archivos. Autopsy es su interfaz grafica. Complementan el analisis de memoria correlacionando con datos del disco.

04 — Comercial

EnCase (EnCE)

Herramienta comercial de Guidance Software. Estandar reconocido en la industria forense. Permite analisis completo de memoria y otros tipos de evidencia digital.

📈

Analisis del volcado — Kali Linux

Volatility

Framework open source incluido en Kali Linux para analisis forense de volcados de memoria RAM. Permite extraer procesos, servicios, conexiones, DLLs y registros del sistema de forma estructurada.

Kali Linux CLI Open Source

Con el volcado obtenido en Windows (guardado en USB u otro medio), lo analizamos desde Kali Linux usando Volatility. La sintaxis base es:

bash — Kali Linux

# Estructura base de todos los comandos Volatility
vol <plugin> -f /ruta/volcado.img --profile=<perfil_SO>

Plugins de Volatility cubiertos

Plugin	Comando	Uso
imageinfo	vol imageinfo -f volcado.img	Identificar el SO y perfil del volcado
hivelist	vol hivelist -f volcado.img --profile=X	Direcciones de memoria de los registros del sistema
pslist	vol pslist -f volcado.img --profile=X	Lista de procesos activos en el momento del dump
pstree	vol pstree -f volcado.img --profile=X	Arbol de procesos padre-hijo
svcscan	vol svcscan -f volcado.img --profile=X	Servicios de Windows en ejecucion
ldrmodules	vol ldrmodules -f volcado.img --profile=X	Detectar DLLs ocultas o inyectadas

imageinfo

Identifica el sistema operativo y el perfil adecuado para el volcado

bash — Kali

vol imageinfo -f /ruta/volcado.img

Devuelve informacion del SO instalado, version, arquitectura y el perfil recomendado para usar en los siguientes comandos.

volatilityvol imageinfo — perfil del SO detectado en el volcado de memoria

💡 Anota el perfil: El resultado de imageinfo devuelve una lista de perfiles sugeridos (ej: Win7SP1x64, Win10x64_19041). Usa ese valor en el parametro --profile= de todos los comandos siguientes.

hivelist

Localiza las direcciones de memoria donde estan los hives (registros) del sistema

bash — Kali

vol hivelist -f /ruta/volcado.img --profile=Win7SP1x64

Muestra las direcciones de memoria virtuales y fisicas de cada hive del Registro de Windows cargado en memoria (SYSTEM, SOFTWARE, SAM, NTUSER.DAT, etc.).

volatilityvol hivelist — direcciones de memoria de los hives del registro de Windows

🔎 Para que sirve: Con las direcciones de los hives puedes usar plugins como printkey o hashdump para extraer claves del registro y hashes de contrasenas directamente desde la memoria.

pslist

Lista todos los procesos activos en el momento del volcado

bash — Kali

vol pslist -f /ruta/volcado.img --profile=Win7SP1x64

Muestra todos los procesos que estaban en ejecucion en el momento del dump: PID, PPID, nombre del proceso, fecha/hora de inicio y numero de threads.

volatilityvol pslist — lista de procesos activos en el momento del volcado de RAM

🔍 Busca procesos sospechosos: En un analisis forense, compara esta lista con la lista normal de procesos del sistema. Procesos con nombres similares a procesos legítimos (ej: svch0st.exe en vez de svchost.exe), ubicaciones inusuales o sin proceso padre reconocible son señales de alerta.

pstree

Muestra la jerarquia padre-hijo de los procesos en formato arbol

bash — Kali

vol pstree -f /ruta/volcado.img --profile=Win7SP1x64

Igual que pslist pero en formato de arbol jerarquico, mostrando que procesos son hijos de cuales. Esto facilita identificar procesos maliciosos que hayan sido inyectados o spawneados desde procesos legitimos.

volatilityvol pstree — arbol jerarquico de procesos padre-hijo

💡 Por que es util el arbol: Un proceso como cmd.exe iniciado como hijo de word.exe es una señal clasica de ejecucion de macros maliciosas. powershell.exe como hijo de svchost.exe tambien es sospechoso.

svcscan

Lista los servicios de Windows que estaban en ejecucion durante el volcado

bash — Kali

vol svcscan -f /ruta/volcado.img --profile=Win7SP1x64

Escanea la memoria en busca de la estructura de Control SCM (Service Control Manager) para identificar todos los servicios registrados y su estado.

volatilityvol svcscan — servicios de Windows en ejecucion en el momento del dump (parte 1)

volatilityvol svcscan — continuacion de la lista de servicios con detalles de ruta y estado

🔎 Servicios maliciosos: El malware persistente frecuentemente se registra como un servicio de Windows. Busca servicios con nombres aleatorios, rutas inusuales (ej: desde %TEMP% o AppData), o servicios con descripcion vacia.

ldrmodules

Detecta DLLs ocultas o inyectadas en los procesos — clave para identificar rootkits

bash — Kali

vol ldrmodules -f /ruta/volcado.img --profile=Win7SP1x64

Compara las listas de modulos cargados en memoria (InLoadOrderModuleList, InMemLoadOrderModuleList, InInitOrderModuleList) para detectar DLLs que solo aparecen en una lista — indicativo de DLL injection o rootkits que ocultan modulos.

volatilityvol ldrmodules — modulos DLL con indicadores de ocultacion (False en alguna lista)

volatilityvol ldrmodules — detalle de DLLs con discrepancias entre las tres listas de modulos

⚠ Señal de rootkit: Si una DLL aparece como False en alguna de las tres columnas (InLoad, InMem, InInit), puede indicar que esta siendo ocultada activamente por un rootkit o malware avanzado. Investiga su ruta y proceso asociado.

Conclusion

🧰 La RAM: evidencia volatil e imprescindible: En un analisis forense, el volcado de la RAM es una de las primeras tareas a realizar debido a su volatilidad. Este volcado puede aportar al informe final evidencias criticas: procesos maliciosos, conexiones activas, contrasenas residuales, claves de cifrado y artefactos de malware que no dejan rastro en el disco.

El flujo completo de trabajo es:

Adquisicion en Windows — usa win64dd, DumpIt o FTK Imager para capturar la RAM en un fichero .img o .raw en un disco externo.

Verificar integridad — calcula el hash MD5/SHA1 del fichero de volcado para garantizar que no se ha modificado.

Analisis con Volatility en Kali — identifica el perfil con imageinfo, luego usa pslist, pstree, svcscan y ldrmodules para extraer evidencias.

Documentacion — incluye los resultados de Volatility en el informe forense con capturas, interpretacion y conclusiones.