Um perito de um órgão público realizou a seguinte análise em um arquivo de memória volátil (RAM) denominado mem.dmp, obtido em tempo real em um sistema em execução: $ python vol.py

Gabarito

Certo

Comentário do professor

Volatility é um framework de análise de memória e o comando informado invoca o plugin pslist sobre o arquivo de memória. Esse plugin percorre as estruturas de processos mantidas pelo kernel para reconstruir a lista de processos existentes no momento da captura.

Ao executar pslist, a ferramenta apresenta, para cada processo, informações como nome, PID, PPID, quantidade de threads, número de handles e os carimbos de data/hora de criação e término. Esses dados permitem ao perito identificar quais programas estavam em execução quando o dump foi gerado.

Portanto, a intenção do perito ao rodar o comando foi obter a relação dos processos em execução naquele instante, com seus identificadores e atributos básicos para análise forense.