Análisis de memoria RAM, como recoger evidencias

El análisis de memoria RAM es el proceso de capturar y examinar los datos volátiles de un sistema encendido. Aunque el principio de orden de volatilidad (RFC 3227) sigue vigente, en sistemas modernos (Windows 10, 11 y Server) es imprescindible utilizar herramientas que operen a nivel de Kernel firmadas digitalmente, como FTK Imager o DumpIt, ya que el acceso directo antiguo ha sido bloqueado por seguridad.

Si intentas usar los métodos de hace 15 años en un ordenador actual, te encontrarás con errores de «Acceso Denegado» o las temidas pantallas azules de la muerte (BSOD). La arquitectura de seguridad de Microsoft ha evolucionado drásticamente para impedir que el malware —y de paso, los forenses desactualizados— lean la memoria fácilmente. A continuación, explicamos cómo adaptar tu metodología al escenario de amenazas de 2025.

¿Por qué cambiaron las reglas del juego? (El Fin de ‘dd’)

Antiguamente, Windows permitía a los usuarios con permisos de administrador leer el dispositivo de memoria física (\Device\PhysicalMemory) como si fuera un archivo más. Sin embargo, con la llegada de arquitecturas de 64 bits, Microsoft introdujo el Kernel Patch Protection (conocido como PatchGuard).

Esta medida de seguridad cerró el acceso directo al kernel desde el modo usuario, volviendo obsoletas herramientas clásicas como las versiones antiguas de dd. Hoy en día, enfrentamos dos desafíos adicionales que hacen del volcado de RAM una prioridad crítica:

• Cifrado de Disco (BitLocker): Si apagas el equipo (o se queda sin batería), los datos del disco se cifran y se vuelven inaccesibles sin la contraseña. Las claves de descifrado residen en texto plano en la RAM mientras el equipo está encendido. Conclusión: El volcado de RAM es a menudo la única forma de recuperar esas claves y acceder a la evidencia.
• Malware «Fileless» (Sin Archivo): Las amenazas modernas a menudo nunca tocan el disco duro; viven exclusivamente en la memoria RAM usando scripts de PowerShell o inyección de código para evadir los antivirus tradicionales. Sin un análisis de RAM, este malware es invisible.

El Nuevo Estándar: Herramientas de Adquisición

Para operar en este nuevo entorno, necesitamos herramientas «Live Response» que sean portables (no requieran instalación para no alterar la evidencia) y que carguen sus propios controladores firmados. Las más destacadas son:

Herramienta	Características y Uso Recomendado
FTK Imager (Lite)	El estándar gratuito de la industria. Ofrece una interfaz gráfica intuitiva y permite capturar tanto la memoria RAM como el archivo de paginación (pagefile.sys).
DumpIt	La herramienta más rápida para respuesta a incidentes. Es un ejecutable de línea de comandos simple; al ejecutarlo, vuelca toda la RAM en un archivo .raw en el directorio actual.
Belkasoft RAM Capturer	Una herramienta potente capaz de operar en modo kernel para superar algunas protecciones anti-dumping activas que utilizan ciertos tipos de malware avanzado.
Magnet RAM Capture	Excelente alternativa gratuita y fiable, diseñada para asegurar una huella de memoria mínima durante el proceso de extracción.

Guía Actualizada: Metodología de «Live Response»

El procedimiento ha cambiado para priorizar la integridad de los datos volátiles y la velocidad de actuación. Sigue estos pasos ante una máquina comprometida:

1. Preparación Externa: Ten siempre listo un disco duro externo USB o una unidad de red configurada con una carpeta que contenga tus herramientas forenses (ej. DumpIt.exe o FTK Imager Lite). Nunca instales nada en la máquina víctima.
2. Ejecución con Privilegios: Conecta tu USB. Ejecuta la herramienta forense como Administrador. Sin privilegios elevados, no podrás cargar el controlador necesario para acceder al Kernel.
3. Proceso de Adquisición:
   • Si usas DumpIt: Escribe y para confirmar. El programa creará un archivo con el nombre del host y la fecha (ej. HOSTNAME-20250101.raw).
   • Si usas FTK Imager: Ve a File > Capture Memory. Selecciona el destino (tu USB) y asigna un nombre al archivo de volcado.
4. Transferencia Segura: Si las políticas de DLP (Data Loss Prevention) bloquean los puertos USB, utiliza herramientas de red como Netcat (versión moderna/cifrada) o agentes de respuesta remota como Velociraptor para exfiltrar la imagen a través de la red.

Análisis Posterior: El Poder de Volatility 3

Una vez tienes tu archivo de volcado (.raw, .mem o .dmp), el análisis no se hace leyendo texto plano. La herramienta reina para esta tarea es Volatility (específicamente la versión 3). Está escrita en Python y permite interrogar al archivo de memoria para extraer:

• Procesos Ocultos: Listar procesos (pslist, psscan) incluso si un rootkit los ha ocultado del Administrador de Tareas.
• Conexiones de Red: Ver conexiones (netscan) activas, cerradas o en escucha en el momento de la captura.
• Historial de Comandos: Extraer lo que el atacante escribió en la consola (cmdscan, consoles).
• Credenciales: Volcar hashes de contraseñas y tickets de Kerberos (hashdump).

Conclusión

La pregunta «¿Es esto vigente?» es vital en ciberseguridad. Los fundamentos forenses (no alterar la escena, cadena de custodia) son eternos, pero las herramientas caducan. En 2025, el analista forense debe ser capaz de sortear cifrados y protecciones de kernel para llegar a la verdad que esconde la RAM.

Recomendación final: Actualiza tu kit de respuesta a incidentes hoy mismo. Elimina los ejecutables de 2006 y asegúrate de llevar las últimas versiones de FTK Imager y Volatility 3 en tu unidad de respuesta.