O Volatility é o framework de fato de forense de memória. Versões 2 (Py2) e 3 (Py3) ainda convivem em campo. Faz parsing de capturas brutas (.mem, .raw, .vmem, .dmp) para Windows, Linux e macOS.

Plugins essenciais:

• pslist, pstree, psscan — listagem de processos (cruzando lista user-mode com scan do pool do kernel).
• netscan / netstat — sockets abertos e listeners.
• cmdline, consoles, cmdscan — histórico de linha de comando.
• malfind — código injetado oculto.
• dumpfiles, procdump — extração de artefatos.
• hivelist, printkey, hashdump — forense de registry da RAM.

• Identificação pós-incidente de código injetado
• Recuperação de credenciais em texto claro da RAM
• Listagem de processos ocultos por rootkit
• Extração de ferramentas que viveram apenas em memória