Speichererfassung und Volatility Framework

Der Arbeitsspeicher enthält laufende Prozesse, Netzwerkverbindungen, Verschlüsselungsschlüssel, Passwörter, eingeschleusten Code und Angreiferartefakte, die möglicherweise nie auf den Datenträger gelangen. Dateilose Malware existiert ausschließlich im Arbeitsspeicher. Die Speicheranalyse erfasst Beweismittel, die der Datenträgerforensik vollständig entgehen.

WinPmem ist ein kostenloses Open-Source-Tool zur Erfassung des Arbeitsspeichers unter Windows. Es erstellt ein Rohabbild des Arbeitsspeichers, das Volatility analysieren kann. Führen Sie das Tool als Administrator aus, um den gesamten physischen Arbeitsspeicher einschließlich der Kernelstrukturen zu erfassen.

Linux Memory Extractor (LiME) ist ein Kernelmodul, das den Arbeitsspeicher erfasst und in eine Datei schreibt oder über das Netzwerk sendet. Verwenden Sie bei der Live-Reaktion auf Sicherheitsvorfälle die Netzwerk-Methode, um das Schreiben des Abbilds auf das möglicherweise kompromittierte System zu vermeiden.

Volatility 3 ist das führende Framework für Speicherforensik. Für die Interpretation der Kernelstrukturen ist eine Symboltabelle für die Version des Zielbetriebssystems erforderlich. Wichtige Befehle: windows.pslist, windows.pstree, windows.netstat, windows.dlllist, windows.malfind.

windows.pslist listet laufende Prozesse auf. Vergleichen Sie diese mit bekannten vertrauenswürdigen Referenzwerten. Achten Sie auf: Prozesse, die aus ungewöhnlichen Pfaden ausgeführt werden (%TEMP%, %APPDATA%), Anomalien in Eltern-Kind-Beziehungen (winword.exe startet cmd.exe) und Prozesse ohne zugehörige Datei auf dem Datenträger (Hinweis auf Process Hollowing).

windows.netstat extrahiert TCP-Verbindungen aus dem Arbeitsspeicher – einschließlich kürzlich geschlossener Verbindungen, die in der Live-Ausgabe von netstat nicht sichtbar sind. Identifizieren Sie C2-Verbindungen: Gegenstellenadressen, die zu bekannten schädlichen IPs aufgelöst werden, oder ungewöhnliche Ports für gängige Prozessnamen (svchost.exe zu externen IPs).

windows.dlllist zeigt die geladenen DLLs pro Prozess an. Vergleichen Sie diese mit bekannten vertrauenswürdigen DLL-Listen. Ungewöhnliche DLLs in explorer.exe oder svchost.exe, DLLs ohne Pfadangabe oder DLLs mit verdächtigen Namen in Systemprozessen weisen auf eine Injection hin.

windows.malfind identifiziert Speicherbereiche mit dem Schutz PAGE_EXECUTE_READWRITE und ohne zugehörige Datei auf dem Datenträger – ein klassisches Anzeichen für Process Injection oder Shellcode. Das Tool schreibt den verdächtigen Speicherbereich in eine Datei und zeigt die ersten Bytes zur Analyse an.

Führen Sie strings für das Arbeitsspeicherabbild oder für bestimmte von Volatility extrahierte Prozessabbilder aus. Zeichenketten aus dem Arbeitsspeicher enthalten häufig C2-URLs, Verschlüsselungsschlüssel, entschlüsselte Payloads und Zugangsdaten, die während der Ausführung nie auf den Datenträger geschrieben wurden.

windows.handles zeigt geöffnete Datei-Handles, Registrierungsschlüssel, Mutexes und Ereignisse pro Prozess an. Mutex-Namen sind starke IOCs – sobald ein solcher Name in einem Vorfall identifiziert wurde, können Sie durch die Suche nach demselben Mutex in anderen Arbeitsspeicherabbildern verwandte Malware in der gesamten Umgebung finden.

Systematischer Workflow: (1) Profilidentifizierung, (2) Auflistung der Prozesse und Erkennung von Anomalien, (3) Überprüfung der Netzwerkverbindungen, (4) Suche nach DLL-Injection, (5) Malfind, (6) Dump verdächtiger Prozesse, (7) Extraktion von Zeichenketten, (8) Extraktion und Berichterstellung zu IOCs.

Warum stellt dateilose Malware traditionelle forensische Methoden vor besondere Herausforderungen?

Die Speicherforensik erfasst flüchtige Beweismittel, die bei der Datenträgeranalyse unsichtbar bleiben. Die Erfassung mit WinPmem und die Analyse mit Volatility 3 – einschließlich der Untersuchung von Prozessen, Netzwerkverbindungen, eingeschleustem Code und DLL-Anomalien – machen dateilose Malware und Aktivitäten von Angreifern sichtbar, die andernfalls unentdeckt blieben.