¿Cuándo capturarías memoria en lugar de solo disco, y qué esperas encontrar?

Captura memoria siempre que la actividad sospechosa sea fileless, cifrada o inyectada, y siempre antes de apagar o de aislar de una forma que corte la sesión. La memoria te da los procesos en ejecución y sus padres, código inyectado, payloads y configuración descifrados, conexiones de red activas, módulos cargados y a menudo material de credenciales. Sigue el orden de volatilidad (primero memoria y estado de red, luego disco) y calcula hashes de todo según lo recolectas.

Mi disparador es cualquier cosa que sugiera que el código malicioso no está en disco en forma legible: hilos inyectados, payloads empaquetados o cifrados, ejecución basada en scripts o una sesión viva de comando y control. En esos casos la copia del disco me dice muy poco y la memoria me lo dice casi todo. Sigo el orden de volatilidad, así que primero memoria y conexiones de red actuales, y luego la imagen de disco, porque aislar o apagar destruye la parte volátil. De una imagen espero procesos en ejecución con sus padres y líneas de comandos, regiones inyectadas o vaciadas que no mapean a ningún fichero en disco, configuración descifrada incluidas las direcciones de comando y control, conexiones de red atadas a un proceso y a menudo material de credenciales. Recolecto con una herramienta firmada desde un medio extraíble, escribo a un destino externo, calculo hashes de inmediato y anoto los pasos exactos y las marcas de tiempo en las notas del caso. En una investigación el único sitio donde existía el dominio de comando y control era una cadena en memoria, porque el loader lo descargaba y nunca lo escribía en ningún lado.