Verdict
Une réponse claire d'abord : compromise ou non, et quel processus examiner.
Forensique mémoire dans le navigateur
Voyez ce que faisait la machine au moment de la capture mémoire
Ouvrez un dump RAM Windows ou Linux et explorez-le comme une machine, pas comme une pile de tableaux de plugins : les programmes en cours et qui les a lancés, avec qui ils communiquaient, ce qu'ils avaient ouvert, qui était connecté, ce qui a été tapé — avec les éléments suspects signalés et expliqués. Rien n'est envoyé.
Votre image mémoire ne quitte jamais cet appareil. L'analyse s'exécute en WebAssembly dans un Web Worker — rien n'est envoyé.
Comment obtenir une image mémoire
La RAM n'est pas un fichier sur le disque : capturez-la sur la machine allumée avec une seule commande, ou récupérez un fichier mémoire déjà écrit par Windows ou l'hyperviseur. Les méthodes les plus simples d'abord.
- CollectezUne commande sur la machine allumée, en administrateur ou root.
- Déposez le fichier iciUn seul fichier .raw, .mem, .vmem, .lime ou .dmp, non zippé.
- Tout reste dans votre navigateurAnalyse locale en WebAssembly : rien n'est envoyé.
Windows : WinPmem
recommandéPrérequis : une invite de commandes administrateur (cmd.exe, pas PowerShell) et une clé USB montée en E: contenant winpmem_mini_x64_rc2.exe, avec plus d'espace libre que la RAM de la machine. Remplacez E: si votre clé a une autre lettre.
cmd (admin)
E:\winpmem_mini_x64_rc2.exe E:\%COMPUTERNAME%.rawÉcrit E:\<nom de l'ordinateur>.raw, une image brute qui se charge directement.
Linux : AVML
recommandéPrérequis : root, et le binaire statique AVML (rendu exécutable) sur un stockage externe monté en /mnt/usb.
bash (root)
sudo /mnt/usb/avml /mnt/usb/$(hostname).limeÉcrit /mnt/usb/<hostname>.lime au format LiME (le format par défaut d'AVML), qui se charge directement.
Pas de ligne de commande ?
Magnet RAM Capture (gratuit) : lancez-le en administrateur, choisissez la clé USB comme destination, cliquez sur Start. Il écrit une image brute.
Guide Magnet RAM Capture →Une machine virtuelle ?
Suspendez la VM, ou prenez un snapshot avec la mémoire, et déposez son .vmem. Rien ne s'exécute dans l'invité. Les chemins sont dans « VM et images disque ».
Windows 11, rien à télécharger
Gestionnaire des tâches → Détails → clic droit sur System → option de vidage de la mémoire du noyau en direct → vidage complet. Mémoire du noyau uniquement, sans la mémoire utilisateur des processus. Enregistré sous %LocalAppData%\Microsoft\Windows\TaskManager\LiveKernelDumps.
Velociraptor (Windows)
Prérequis : une invite administrateur dans le dossier du binaire Velociraptor, renommé velociraptor.exe ; E: est le disque externe.
cmd (admin)
velociraptor.exe artifacts collect Windows.Memory.Acquisition --output E:\memory.zipL'image mémoire se trouve dans le ZIP : extrayez l'image brute et déposez ce fichier (les ZIP ne sont pas ouverts). Si l'artefact propose une option de compression, laissez-la désactivée.
Velociraptor (Linux)
Prérequis : root, dans le dossier du binaire Velociraptor, renommé velociraptor ; /mnt/usb est un stockage externe.
bash (root)
sudo ./velociraptor artifacts collect Linux.Memory.Acquisition --output /mnt/usb/memory.zipComme sous Windows : extrayez l'image mémoire du ZIP, puis déposez-la ici.
KAPE : fichiers mémoire du disque
Prérequis : une invite administrateur dans le dossier de KAPE ; E: est le disque externe.
cmd (admin)
kape.exe --tsource C: --tdest E:\kape --target MemoryFilesLa cible MemoryFiles copie pagefile.sys, hiberfil.sys et swapfile.sys dans E:\kape. Ce n'est pas une image de la RAM : joignez pagefile.sys après avoir chargé un dump Windows (bouton « + pagefile ») ; hiberfil.sys doit d'abord être converti.
FTK Imager (interface graphique)
File → Capture Memory… : choisissez la clé USB comme destination, gardez le nom memdump.mem et laissez « Create AD1 file » décoché. Cochez « Include pagefile » pour obtenir aussi pagefile.sys, que vous pourrez joindre après avoir chargé le dump.
Machines virtuelles
Suspendez la VM, ou prenez un snapshot incluant la mémoire, pour que l'hyperviseur écrive le .vmem. Déposez le .vmem ; le .vmss / .vmsn voisin n'est que le descripteur d'état.
- VMware Workstation (hôte Windows), VM suspendue ou avec snapshotchargement direct
%USERPROFILE%\Documents\Virtual Machines\<VM>\*.vmem - VMware Fusion (hôte macOS)chargement direct
~/Virtual Machines.localized/<VM>.vmwarevm/*.vmem - Datastore VMware ESXichargement direct
/vmfs/volumes/<datastore>/<VM>/*.vmem - VirtualBox : core ELF, pas encore pris en chargenon pris en charge
VBoxManage debugvm "<VM>" dumpvmcore --filename vm.elf
Depuis une image disque (E01, volume monté)
Montez l'image (Arsenal Image Mounter, ou FTK Imager → Image Mounting) ou ajoutez-la comme preuve dans FTK Imager, puis exportez ces fichiers depuis la racine du volume Windows. Vous n'obtenez que ce que Windows a écrit avant l'arrêt, pas une capture à chaud.
- Vidage sur incident : complet / noyau / automatique, x64chargement direct
\Windows\MEMORY.DMP - Fichier d'hibernation (compressé)à convertir
\hiberfil.sys - Fichier d'échange : mémoire paginée, à joindre à un dumpà joindre après chargement
\pagefile.sys
Fichiers mémoire que Windows écrit de lui-même. hiberfil.sys, pagefile.sys et swapfile.sys sont des fichiers système cachés, verrouillés tant que Windows tourne : prenez-les depuis une image montée ou copiez-les avec KAPE ou FTK Imager. Déposez un fichier à la fois.
- Vidage du dernier écran bleu : complet / noyau / automatique, x64chargement direct
%SystemRoot%\MEMORY.DMP - Vidages du noyau en direct créés depuis le Gestionnaire des tâches (Windows 11)chargement direct
%LocalAppData%\Microsoft\Windows\TaskManager\LiveKernelDumps - Fichier d'hibernation (caché, système, compressé)à convertir
%SystemDrive%\hiberfil.sys - Fichier d'échange : mémoire paginée seulement, pas une image complèteà joindre après chargementSeul : analysez-le avec pagefile.sys parser, notre outil dédié dans le navigateur ↗
%SystemDrive%\pagefile.sys - Fichier swap (Windows 8+) : pas une image complètenon pris en charge
%SystemDrive%\swapfile.sys
Formats acceptés : images brutes (.raw, .mem, .bin, .vmem), LiME, AVML (non compressé ou --compress) et vidages sur incident Windows x64 (MEMORY.DMP complet ou bitmap, .dmp DumpIt). Les fichiers d'hibernation, AFF4, cores ELF et QCOW2 doivent d'abord être convertis en raw. L'OS (Windows, Linux, macOS) est détecté à partir du contenu, pas de l'extension.
Pièges à éviter
- Capturez d'abord, sans redémarrer ni éteindre : la RAM disparaît à l'extinction, et chaque outil lancé sur la machine en écrase une partie.
- Écrivez sur un disque externe ou réseau disposant de plus d'espace libre que la RAM installée, jamais sur le disque de la machine analysée. Les droits administrateur ou root sont requis, et Secure Boot ou un EDR peut bloquer le pilote de capture.
- Un seul fichier non compressé par analyse : extrayez-le d'abord de tout ZIP. Les fichiers d'hibernation, AFF4, cores ELF et QCOW2 doivent être convertis en raw.
Ce que vous obtenez
Chaque vue est une fenêtre sur une partie de la machine ; les détections s'affichent par-dessus, jamais à la place.
Processus
Chaque programme sur une frise de vie avec sa filiation, sa carte mémoire, son code chargé, ses fichiers ouverts et ses droits.
Chronologie
Démarrages de processus, connexions, écritures registre, dates de fichiers et lignes de log sur un même axe zoomable.
Réseau
Qui parlait à qui, ce que la machine exposait, et quand chaque connexion a été ouverte.
Comptes et secrets
Les comptes, qui détenait des droits dangereux, et les hachages, clés et identifiants restés en mémoire.
Activité
Commandes tapées ou exécutées, tâches planifiées, connexions et journaux retrouvés en mémoire.
Systèmes d'exploitation
Windows
structuréWindows 7 – 11, x64. Les symboles du noyau sont récupérés automatiquement chez Microsoft ; toutes les vues sont disponibles.
Linux
structuréNoyaux x86-64 avec un fichier de symboles Volatility 3 correspondant (trouvé automatiquement pour les distributions courantes, ou importez le vôtre).
macOS
partielDétecté ; l'analyse se limite pour l'instant aux plugins de recherche de motifs.
Pourquoi RAM parser
Une fenêtre, puis le verdict
L'outil reconstruit la machine à partir des structures du noyau — processus, mémoire, sockets, handles, comptes — puis seulement signale ce qui est anormal, avec la raison en clair.
Exécution en WebAssembly
Le parseur Rust s'exécute dans des Web Workers de votre navigateur. Les images de plusieurs gigaoctets restent fluides ; rien à installer.
Rien ne quitte votre appareil
L'image est lue localement et n'est jamais envoyée — adapté aux preuves sensibles de réponse à incident.
Comment ça marche
- 1
Déposez une image mémoire
Elle reste sur votre machine du début à la fin.
- 2
Les symboles se chargent seuls
Le noyau est identifié et ses symboles récupérés (Microsoft pour Windows, l'index communautaire Volatility 3 pour Linux).
- 3
Enquêtez
Commencez par le verdict, puis suivez les liens vers les processus, le réseau, les comptes et l'activité.
Outils associés
Questions fréquentes
+ − Mon dump RAM est-il envoyé quelque part ?
Non. L'analyse s'exécute entièrement côté client en WebAssembly dans un Web Worker — le fichier ne quitte jamais votre appareil.
+ − Quels systèmes d'exploitation sont pris en charge ?
Windows 7 à 11 et Linux bénéficient de l'analyse complète et structurée (les symboles du noyau sont récupérés automatiquement). Les images macOS sont détectées, avec pour l'instant une analyse limitée par recherche de motifs.
+ − Dois-je installer Volatility ou d'autres outils ?
Non. RAM parser fonctionne dans n'importe quel navigateur moderne — rien à installer, aucun environnement Python ni pack de symboles à gérer.
+ − Quels formats de fichier puis-je ouvrir ?
Des dumps mémoire physiques bruts tels que .raw, .mem, .dmp et .lime, capturés avec des outils comme Magnet RAM Capture, WinPmem ou AVML.
+ − Quelle taille de dump peut-il traiter ?
Le parseur lit les pages à la demande au lieu de charger tout le fichier, donc les images de plusieurs gigaoctets fonctionnent sans saturer la mémoire du navigateur.
+ − RAM parser est-il gratuit ?
Oui — RAM parser est gratuit et s'utilise directement dans votre navigateur.