Quando você capturaria memória em vez de só disco, e o que você espera encontrar?

Capture memória sempre que a atividade suspeita for fileless, criptografada ou injetada, e sempre antes de desligar ou isolar de um jeito que encerre a sessão. Memória entrega processos em execução e seus pais, código injetado, payloads e configuração descriptografados, conexões de rede ativas, módulos carregados e muitas vezes material de credencial. Siga a ordem de volatilidade (memória e estado de rede primeiro, depois disco) e gere hash de tudo conforme coleta.

Meu gatilho é qualquer coisa sugerindo que o código malicioso não está no disco em forma legível: threads injetadas, payloads empacotados ou criptografados, execução por script, ou uma sessão viva de comando e controle. Nesses casos a cópia do disco me diz muito pouco e a memória me diz quase tudo. Eu sigo a ordem de volatilidade, então memória e conexões de rede atuais primeiro, depois a imagem de disco, porque isolar ou desligar destrói o lado volátil. De uma imagem eu espero processos em execução com pais e linhas de comando, regiões injetadas ou esvaziadas que não mapeiam para um arquivo em disco, configuração descriptografada incluindo endereços de comando e controle, conexões de rede amarradas a um processo, e muitas vezes material de credencial. Eu coleto com uma ferramenta assinada a partir de mídia removível, gravo em um destino externo, gero hash imediatamente, e registro os passos exatos e os horários nas notas do caso. Em uma investigação, o único lugar em que o domínio de comando e controle existia era uma string na memória, porque o loader o baixava e nunca escrevia em lugar nenhum.