Domaine 06

Forensique mémoire

Certaines preuves n'existent qu'en RAM : charges sans fichier, code injecté, état réseau et processus dissimulés. Ce domaine couvre l'acquisition avec LiME et AVML, la génération des tables de symboles Volatility 3 pour le noyau exact et les plugins qui comptent.

LiME
AVML
Volatility 3

Guides de ce domaine

Ces guides sont pour l'instant publiés en anglais uniquement. Les liens ci-dessous ouvrent la version anglaise.

06 · Forensique mémoireAnglais

Linux Memory Forensics with LiME, AVML and Volatility 3

Acquire Linux RAM with LiME or AVML, build Volatility 3 symbol tables with dwarf2json, and find hidden processes, rootkit modules and bash history in memory.

memory-forensicsvolatilitylime

28 sept. 2026

Fiches artefacts

Emplacement de chaque artefact, ce qu'il prouve, ses horodatages et les outils pour l'analyser.

Linux Memory Acquisition: LiME, AVML and /proc/kcoreCapturing Linux RAM with LiME or AVML: memory sources, output formats, lockdown limits and the Volatility 3 symbol tables needed to analyse the image.
Linux Crash Reports and Core Dumps: coredump, apportsystemd-coredump, Ubuntu apport, ABRT and kdump on Linux: where crash data lands and how it exposes failed exploits and unstable implants.
eBPF Programs and Pinned Maps: Linux Kernel ImplantsLoaded eBPF programs, pinned objects in /sys/fs/bpf and their loaders on disk: how eBPF rootkits and BPF backdoors hide on Linux and how to find them.

Tous les domaines