Quand captureriez-vous la mémoire plutôt que seulement le disque, et que vous attendez-vous à y trouver ?

Capturez la mémoire dès que l'activité suspectée est sans fichier, chiffrée ou injectée, et toujours avant d'éteindre ou d'isoler d'une façon qui mettrait fin à la session. La mémoire livre les processus en cours et leurs parents, le code injecté, les charges utiles et configurations déchiffrées, les connexions réseau actives, les modules chargés et souvent du matériel d'identifiants. Suivez l'ordre de volatilité (mémoire et état réseau d'abord, puis le disque) et hachez tout au fur et à mesure de la collecte.

Mon déclencheur, c'est tout ce qui suggère que le code malveillant n'est pas posé sur le disque sous une forme lisible : fils injectés, charges utiles compressées ou chiffrées, exécution par script, ou une session de commande et contrôle vivante. Dans ces cas, la copie disque me dit très peu et la mémoire me dit presque tout. Je suis l'ordre de volatilité, donc la mémoire et les connexions réseau courantes d'abord, puis l'image disque, parce qu'isoler ou éteindre détruit le côté volatile. D'une image, j'attends les processus en cours avec leurs parents et lignes de commande, des régions injectées ou creusées qui ne correspondent à aucun fichier sur disque, la configuration déchiffrée y compris les adresses de commande et contrôle, des connexions réseau rattachées à un processus, et souvent du matériel d'identifiants. Je collecte avec un outil signé depuis un support amovible, j'écris sur une cible externe, je hache immédiatement, et je consigne les étapes exactes et les horodatages dans les notes du dossier. Sur une investigation, le seul endroit où le domaine de commande et contrôle existait, c'était une chaîne en mémoire, parce que le chargeur l'avait téléchargé sans jamais l'écrire nulle part.