Recuperando raw sockets da memória no Windows 10+: novo artefato para forense de malware
Pesquisadores do time da Volatility detalham como versões modernas do Windows quebraram as técnicas antigas de detecção de raw sockets em memória, e apresentam um plugin para Volatility 3 que localiza essas estruturas via pool tag. A técnica oferece um artefato forense direto para identificar malware que faz sniffing de rede ou constrói pacotes customizados para C2.
Raw sockets são um recurso de rede de baixo nível que permite a um processo privilegiado ler e escrever pacotes de rede completos, ignorando parte da pilha TCP/IP padrão — capacidade legítima para ferramentas de diagnóstico, mas também recurso clássico de malware sofisticado que precisa fazer sniffing de tráfego local ou implementar protocolos C2 próprios sobre pacotes brutos. Métodos antigos de detecção forense procuravam handles abertos apontando para \Device\RawIp\0 ou sockets registrados com porta e protocolo zero, mas essas heurísticas pararam de funcionar de forma confiável depois que a Microsoft reescreveu partes significativas da pilha de rede a partir do Windows 10.
Para recuperar o artefato de forma independente da API exposta, os pesquisadores fizeram engenharia reversa do driver tcpip.sys em IDA Pro e localizaram a estrutura interna do kernel usada para representar cada raw socket, identificada por uma tag de pool de memória fixa ("RawE") e por um offset constante (0x48, byte 72) onde o kernel armazena a referência ao processo proprietário. A descoberta foi validada com um script automatizado que checou a consistência da tag e do offset em múltiplas builds do Windows 10 e 11, garantindo que a técnica não dependesse de uma versão específica do sistema. O plugin resultante para o Volatility 3 varre a memória em busca de alocações com essa tag de pool, reconstrói a estrutura via definição de tipo em JSON, e valida a integridade do processo referenciado antes de reportá-lo.
Esse tipo de trabalho sustenta a forense de memória como disciplina viva: técnicas que dependem de estruturas internas não documentadas do kernel quebram silenciosamente a cada grande atualização do Windows, e sem pesquisa contínua de engenharia reversa, plugins de ferramentas como Volatility ficam obsoletos sem aviso — deixando analistas com falso senso de cobertura. Ter um artefato indireto e validado para detectar raw sockets é particularmente valioso em investigações de malware que implementam protocolos C2 customizados ou capturam credenciais via sniffing local, cenários em que métodos convencionais (conexões TCP/UDP visíveis, DNS suspeito) simplesmente não capturam a atividade.