Volatility 3 est un cadre logiciel d’analyse de la mémoire vive : à partir d’une copie de la RAM prélevée sur un ordinateur, il retrouve les processus qui tournaient, les connexions réseau ouvertes ou les traces laissées par un programme malveillant. Il est développé par la Volatility Foundation, une organisation américaine à but non lucratif. D’après le site de la fondation, la toute première version de Volatility a été présentée en public en 2007, lors de la conférence Black Hat DC.
La branche actuelle est une réécriture complète en Python 3, publiée à partir de 2019. Elle remplace Volatility 2, dont le dépôt a été archivé le 16 mai 2025. Le code est diffusé sous la Volatility Software License, une licence rédigée par la fondation qui autorise un usage gratuit mais oblige à publier les modifications que l’on met à disposition d’autrui.
À quoi sert Volatility 3
Lorsqu’un poste est compromis, une partie des indices n’existe qu’en mémoire : un code injecté dans un processus légitime, une connexion active vers un serveur distant, une commande saisie quelques minutes plus tôt. Volatility 3 travaille sur une image mémoire capturée au préalable et reconstitue l’état du système au moment de la capture, sans dépendre de la machine examinée ni de son système d’exploitation.
Chaque analyse passe par un module, appelé plugin, que l’on lance en ligne de commande. Pour Windows, les plugins énumèrent les processus et leur filiation, les bibliothèques chargées, les lignes de commande, les connexions réseau ou les zones mémoire suspectes qui signalent souvent une injection de code. Des équivalents existent pour Linux, avec par exemple la lecture de l’historique bash ou la liste des modules du noyau. Un plugin de recherche par règles YARA, autre logiciel présent dans notre logithèque, permet de traquer une signature précise dans toute la mémoire.
Le grand changement par rapport à Volatility 2 concerne la description des systèmes analysés. L’ancienne version exigeait de choisir un profil correspondant exactement au système d’origine. Volatility 3 s’appuie sur des tables de symboles : pour Windows, celles qui manquent sont téléchargées puis mises en cache automatiquement, tandis que pour Linux et macOS il faut souvent les produire soi-même avec l’utilitaire dwarf2json. Parmi les formats lus, la documentation cite les vidages sur incident de Windows, les captures LiME et AVML réalisées sous Linux, ainsi que les fichiers de machines virtuelles VMware, QEMU ou Xen.
Volatility 3 se distingue d’Autopsy, que nous présentons également, par son terrain d’enquête : Autopsy fouille les disques durs et les téléphones, Volatility s’occupe de la mémoire. Autopsy propose d’ailleurs, à titre expérimental, un module qui fait appel à Volatility.
Pour qui ?
L’outil s’adresse aux analystes chargés de la réponse à incident, aux enquêteurs en criminalistique numérique, aux chercheurs qui étudient les logiciels malveillants et aux étudiants des formations spécialisées. Les développeurs y trouvent aussi une base pour écrire leurs propres plugins, un exercice que la fondation encourage depuis 2013 avec un concours annuel doté de prix en argent.
Il faut en revanche être à l’aise avec la ligne de commande et posséder quelques notions sur le fonctionnement interne d’un système d’exploitation pour interpréter les résultats. Le support de macOS est désormais en retrait : un avertissement ajouté dans la version 2.28.2 indique que l’analyse des images macOS n’est plus activement maintenue et que les plugins existants risquent de ne plus évoluer. Il n’existe pas non plus d’interface graphique officielle, ce qui peut dérouter les habitués d’Autopsy.
Télécharger Volatility 3 sans risque
Le code source et les versions publiées se trouvent dans le dépôt volatilityfoundation/volatility3 sur GitHub. La dernière version, la 2.28.2 du 17 septembre 2026, s’installe avec pip à partir du paquet volatility3 publié sur PyPI, et demande Python 3.8 ou plus récent. Malgré son nom, Volatility 3 suit donc une numérotation en 2.x, ce qui prête parfois à confusion. Depuis la version 2.27.0, la page des versions propose aussi une archive d’exécutables pour Windows, d’environ 44 Mo.
Rien n’est payant. La fondation vit de parrainages, dont celui de la société Volexity. Comme Volatility tourne souvent sur des postes d’analyse qui manipulent des données sensibles, mieux vaut ignorer les exécutables repris sur des forums ou des sites de partage et s’en tenir à GitHub et à PyPI.
Questions fréquentes
Volatility 3 est-il gratuit ?
Oui. Il est gratuit pour tout usage et son code source est public. La Volatility Software License demande seulement de publier, sous la même licence, les modifications ou extensions que l’on met à disposition d’autres personnes, y compris par Internet.
Faut-il encore utiliser Volatility 2 ?
Non. Son dépôt est archivé depuis le 16 mai 2025 et les notes de version de Volatility 3 le présentent comme n’étant plus pris en charge. La version 2.26.0, publiée le même jour, visait justement la parité fonctionnelle avec l’ancienne branche.
Volatility 3 peut-il capturer la mémoire d’un ordinateur ?
Non, il analyse uniquement des images déjà réalisées. L’acquisition passe par des outils dédiés, par exemple LiME ou AVML sous Linux, dont Volatility sait lire les formats. Sur une machine virtuelle, on peut aussi partir des fichiers d’état produits par l’hyperviseur.
