Wann würdest du Memory sichern statt nur die Disk, und was erwartest du dort zu finden?

Sicher Memory immer dann, wenn die vermutete Aktivität dateilos, verschlüsselt oder injiziert ist, und immer bevor du herunterfährst oder so isolierst, dass die Session endet. Memory liefert laufende Prozesse und ihre Elternprozesse, injizierten Code, entschlüsselte Payloads und Konfiguration, aktive Netzwerkverbindungen, geladene Module und oft Credential-Material. Folg der Order of Volatility (zuerst Memory und Netzwerkzustand, dann Disk) und hash alles beim Sichern.

Mein Auslöser ist alles, was nahelegt, dass der bösartige Code nicht in lesbarer Form auf der Disk liegt: injizierte Threads, gepackte oder verschlüsselte Payloads, skriptbasierte Ausführung oder eine lebende Command-and-Control-Session. In diesen Fällen sagt mir die Disk-Kopie sehr wenig und Memory fast alles. Ich folge der Order of Volatility, also zuerst Memory und aktuelle Netzwerkverbindungen, dann das Disk Image, denn Isolieren oder Herunterfahren zerstört die flüchtige Seite. Aus einem Image erwarte ich laufende Prozesse mit Elternprozessen und Command Lines, injizierte oder ausgehöhlte Regionen, die auf keine Datei auf der Disk mappen, entschlüsselte Konfiguration inklusive Command-and-Control-Adressen, Netzwerkverbindungen, die auf einen Prozess zurückführen, und oft Credential-Material. Ich sichere mit einem signierten Tool von Wechselmedien, schreibe auf ein externes Ziel, hashe sofort und halte die exakten Schritte und Zeitstempel in den Fallnotizen fest. Bei einer Untersuchung existierte die Command-and-Control-Domain nur als String im Memory, weil der Loader sie heruntergezogen und nirgends geschrieben hatte.