Volatility 3 è un framework per l’analisi forense della memoria RAM. Partendo da una copia della memoria di un computer, ricostruisce i processi in esecuzione, le connessioni di rete aperte e le tracce lasciate da un malware. Lo sviluppa la Volatility Foundation, un’organizzazione statunitense senza scopo di lucro. Secondo il sito della fondazione, la primissima versione di Volatility fu presentata in pubblico nel 2007, durante la conferenza Black Hat DC.
Il ramo attuale è una riscrittura completa in Python 3, pubblicata a partire dal 2019. Ha preso il posto di Volatility 2, il cui repository è stato archiviato il 16 maggio 2025. Il codice è distribuito con la Volatility Software License, una licenza scritta dalla fondazione che consente l’uso gratuito ma obbliga a pubblicare le modifiche che si mettono a disposizione di altri.
A cosa serve Volatility 3
Quando un computer viene compromesso, alcuni indizi esistono solo in memoria: codice iniettato in un processo legittimo, una connessione attiva verso un server remoto, un comando digitato pochi minuti prima. Volatility 3 lavora su un’immagine della memoria acquisita in precedenza e ricostruisce lo stato del sistema al momento dell’acquisizione, senza dipendere dalla macchina esaminata né dal suo sistema operativo.
Ogni tipo di analisi è affidato a un plugin che si avvia da riga di comando. Per Windows, i plugin elencano i processi con le relative parentele, le librerie caricate, le righe di comando, le connessioni di rete e le aree di memoria sospette che spesso rivelano un’iniezione di codice. Per Linux esistono plugin equivalenti, capaci per esempio di recuperare la cronologia di bash o di elencare i moduli del kernel. Un plugin di ricerca basato sulle regole YARA, altro strumento presente nella nostra raccolta di software, consente di cercare una firma precisa in tutta l’immagine.
La differenza principale rispetto a Volatility 2 riguarda il modo di descrivere i sistemi analizzati. La vecchia versione richiedeva di scegliere un profilo identico al sistema d’origine. Volatility 3 si basa invece su tabelle di simboli: per Windows quelle mancanti vengono scaricate e memorizzate automaticamente, mentre per Linux e macOS di solito vanno generate con l’utilità dwarf2json a partire dal kernel interessato. Tra i formati supportati la documentazione cita i crash dump di Windows, le acquisizioni LiME e AVML effettuate su Linux e i file delle macchine virtuali VMware, QEMU e Xen.
Rispetto ad Autopsy, di cui pubblichiamo pure la scheda, cambia il campo d’indagine: Autopsy esamina dischi rigidi e telefoni, Volatility 3 si concentra sulla memoria. I due strumenti si completano, tanto che Autopsy offre in via sperimentale un modulo che richiama Volatility.
Per chi è?
Volatility 3 è pensato per chi si occupa di risposta agli incidenti, per gli investigatori di informatica forense, per i ricercatori che studiano i malware e per gli studenti dei corsi specialistici di sicurezza. Gli sviluppatori possono anche usarlo come base per scrivere plugin propri, un’attività che la fondazione incoraggia dal 2013 con un concorso annuale che prevede premi in denaro.
Serve però dimestichezza con la riga di comando e una certa conoscenza del funzionamento interno dei sistemi operativi per interpretare i risultati. Il supporto a macOS è in fase di abbandono: un avviso introdotto nella versione 2.28.2 segnala che l’analisi delle immagini macOS non è più mantenuta attivamente e che i plugin esistenti potrebbero non ricevere aggiornamenti. Manca inoltre un’interfaccia grafica ufficiale, cosa che può spiazzare chi è abituato ad Autopsy.
Scaricare Volatility 3 in sicurezza
Il codice sorgente e le versioni pubblicate si trovano nel repository volatilityfoundation/volatility3 su GitHub. L’ultima versione, la 2.28.2 del 17 settembre 2026, si installa con pip dal pacchetto volatility3 che i manutentori del progetto pubblicano su PyPI e richiede Python 3.8 o successivo. Nonostante il nome, Volatility 3 adotta una numerazione 2.x, un dettaglio che confonde spesso chi si avvicina al progetto. Dalla versione 2.27.0 la pagina delle release offre anche un archivio zip di eseguibili per Windows di circa 44 MB.
Non c’è nulla da pagare. La fondazione si sostiene con le sponsorizzazioni, tra cui quella della società Volexity. Poiché Volatility gira di solito su postazioni di analisi che custodiscono dati delicati, conviene evitare gli eseguibili ripubblicati su forum o siti di condivisione e affidarsi solo a GitHub e PyPI.
Domande frequenti
Volatility 3 è gratuito?
Sì. È gratuito per qualsiasi uso e il codice sorgente è pubblico. La Volatility Software License chiede soltanto di pubblicare, con la stessa licenza, le modifiche o le estensioni che si rendono disponibili ad altri, anche via Internet.
Ha ancora senso usare Volatility 2?
No. Il suo repository è archiviato dal 16 maggio 2025 e le note di rilascio di Volatility 3 lo indicano come non più supportato. La versione 2.26.0, uscita lo stesso giorno, puntava proprio alla parità funzionale con il vecchio ramo.
Volatility 3 può acquisire la memoria di un computer?
No, analizza soltanto immagini già esistenti. L’acquisizione spetta a strumenti dedicati come LiME o AVML su Linux, di cui Volatility legge i formati. Con le macchine virtuali si può partire anche dai file di stato salvati dall’hypervisor.
