Memory-Forensik

Memory-Forensik nimmt sich flüchtiger Daten an, die beim Abschalten verschwinden, und liefert Beweise, die Datenträgerforensik nicht erreicht: rein im Speicher geladene Malware, entpackte Payloads, Schlüssel, Browsersitzungen, Klartext-Zugangsdaten sowie Tarnmechanismen von Rootkits. Die Sicherung erfolgt mit Werkzeugen wie WinPmem, DumpIt, AVML oder Hypervisor-Snapshots und erzeugt Rohdumps oder VMware-vmem-Dateien. Frameworks wie Volatility 3 und Rekall parsen Betriebssystemstrukturen und enumerieren Prozesse, DLLs, Sockets, Registry-Hives und Code-Injection. Sie ist zentral für fileless-Malware- und APT-Fälle und ergänzt Disk- und Netzwerkforensik in DFIR-Workflows nach NIST SP 800-86.