Forense de memória

A forense de memória foca dados voláteis que desaparecem ao desligar o equipamento e expõe evidências inacessíveis pela forense de disco: malware apenas em memória, payloads desempacotados, chaves criptográficas, sessões de navegador, credenciais em texto claro e técnicas de ocultação de rootkits. A aquisição usa WinPmem, DumpIt, AVML ou snapshots de hipervisor, gerando dumps em bruto ou ficheiros vmem do VMware. Frameworks como Volatility 3 e Rekall analisam estruturas do SO para enumerar processos, DLLs, sockets, hives de registo e injeção de código. É essencial em casos de malware sem ficheiro e APT, complementando forense de disco e de rede em fluxos DFIR alinhados com o NIST SP 800-86.