Lewati ke konten utama
ENID

Keamanan & DFIR

DFIR Windows 11 Volatile Memory Forensics & Volatility 3 Analysis

Akuisisi RAM volatil langsung dan analisis mendalam kernel memori pada Windows 11 host untuk mendeteksi proses tersembunyi, menginspeksi handle, serta merekonstruksi artefak file dari memori.

Buka Repositori GitHub Lihat Bukti Visual (6)
DFIR Windows 11 Volatile Memory Forensics & Volatility 3 Analysis

Implementasi & Rancangan Sistem

Akuisisi 10 GB RAM fisik via FTK Imager v8.3 dengan isolasi driver kernel ring-0. Melakukan analisis Volatility 3 berbasis resolusi simbol PDB dinamis (Build 26100), deteksi proses DKOM via psscan, audit VAD PAGE_EXECUTE_READWRITE via malfind, serta ekstraksi dokumen DOCX dari memori via dumpfiles.

Peran & Kontribusi

Pemeriksa forensik individu: melakukan akuisisi dump RAM fisik, mengonfigurasi framework Volatility 3, menganalisis struktur paging kernel Windows 11, memulihkan proses terhenti, dan memverifikasi file hasil carving memori.

Poin Utama Implementasi

  • Melakukan akuisisi RAM fisik non-destruktif ke Drive D tanpa kontaminasi file swap/pagefile.
  • Mengidentifikasi kernel base Windows 11 (0xf803b8600000) dan DTB (0x1ae000) melalui unduhan tabel simbol resmi Microsoft.
  • Mengekstrak objek file memori langsung dari physical offset 0xca8ea9f85350 dengan validasi magic bytes ZIP.

Bukti Verifikasi & Hasil

  • File citra memori mentah 10.72 GB terverifikasi utuh di disk (memdump.mem).
  • Ekstraksi file dokumen Tugas_06.docx dari RAM berhasil dengan header valid PK.
  • Mendeteksi proses terhenti dan memverifikasi handle driver kernel pada FTK Imager.