Área 06

Análisis forense de memoria

Parte de la evidencia solo existe en la RAM: cargas sin archivo, código inyectado, estado de red y procesos ocultos. Esta área cubre la adquisición con LiME y AVML, la creación de tablas de símbolos de Volatility 3 para el kernel exacto y los plugins que importan.

LiME
AVML
Volatility 3

Guías de esta área

Por ahora estas guías solo están publicadas en inglés. Los enlaces siguientes abren la versión en inglés.

06 · Análisis forense de memoriaInglés

Linux Memory Forensics with LiME, AVML and Volatility 3

Acquire Linux RAM with LiME or AVML, build Volatility 3 symbol tables with dwarf2json, and find hidden processes, rootkit modules and bash history in memory.

memory-forensicsvolatilitylime

28 sept 2026

Fichas de artefactos

Dónde vive cada artefacto, qué demuestra, sus marcas de tiempo y las herramientas para analizarlo.

Linux Memory Acquisition: LiME, AVML and /proc/kcoreCapturing Linux RAM with LiME or AVML: memory sources, output formats, lockdown limits and the Volatility 3 symbol tables needed to analyse the image.
Linux Crash Reports and Core Dumps: coredump, apportsystemd-coredump, Ubuntu apport, ABRT and kdump on Linux: where crash data lands and how it exposes failed exploits and unstable implants.
eBPF Programs and Pinned Maps: Linux Kernel ImplantsLoaded eBPF programs, pinned objects in /sys/fs/bpf and their loaders on disk: how eBPF rootkits and BPF backdoors hide on Linux and how to find them.

Todas las áreas