Memory Forensics

detecting-rootkit-activity は、Malware Analysis 向けのスキルで、隠しプロセス、フックされたシステムコール、改変されたカーネル構造、隠しモジュール、密かに残されたネットワーク痕跡など、rootkit の兆候を見つけるために使います。クロスビュー比較と整合性チェックにより、標準ツールの結果が食い違う suspicious host の検証を支援します。

RekallでWindowsメモリイメージを解析するための extracting-memory-artifacts-with-rekall ガイドです。インストール手順と使い方のパターンを学び、Digital Forensicsで隠しプロセス、注入コード、不審なVAD、読み込まれたDLL、ネットワーク活動を見つける方法を確認できます。

extracting-credentials-from-memory-dump は、Volatility 3 と pypykatz のワークフローを使って、Windows のメモリダンプから NTLM ハッシュ、LSA シークレット、Kerberos 資材、トークンを分析するためのスキルです。有効なダンプから、証拠として耐えうる情報、アカウントへの影響範囲、是正の指針を得たいデジタル・フォレンジックやインシデント対応向けに設計されています。

detecting-process-injection-techniques は、疑わしいインメモリ活動の分析、EDRアラートの検証、プロセスホローイング、APCインジェクション、スレッドハイジャック、リフレクティブローディング、従来型のDLLインジェクションの特定を支援し、Security Audit やマルウェアトリアージに役立ちます。

analyzing-memory-dumps-with-volatility は、Windows、Linux、macOS の RAM ダンプを対象に、Volatility 3 でメモリフォレンジック、マルウェアの初動確認、隠しプロセス、インジェクション、ネットワーク活動、資格情報の確認を行うためのスキルです。インシデント対応やマルウェア分析に使える、再現性のある analyzing-memory-dumps-with-volatility ガイドが必要なときに適しています。

analyzing-linux-kernel-rootkits は、Volatility3 のクロスビュー検査、rkhunter スキャン、/proc と /sys の比較分析を使って、Linux カーネルのルートキットを検出する DFIR・脅威ハンティング向けのワークフローを支援します。隠しモジュール、syscall フック、改ざんされたカーネル構造を見つけるための、実践的な analyzing-linux-kernel-rootkits ガイドとして、フォレンジックのトリアージに役立ちます。

detecting-fileless-malware-techniques skill は、PowerShell、WMI、.NET リフレクション、レジストリ常駐ペイロード、LOLBins を使ってメモリ上で動作するファイルレスマルウェアを調査する Malware Analysis ワークフローを支援します。疑わしいアラートを、証拠に基づくトリアージ、検知アイデア、次のハンティングへとつなげるために使えます。

conducting-memory-forensics-with-volatility は、Volatility 3 を使って RAM ダンプを解析し、注入コード、不審なプロセス、ネットワーク接続、認証情報の窃取、隠れたカーネル動作を見つけるのに役立ちます。Digital Forensics やインシデント対応のトリアージに向いた、実用的な conducting-memory-forensics-with-volatility スキルです。

analyzing-heap-spray-exploitation は、Volatility3 を使ってメモリダンプ内の heap spray exploit を解析するスキルです。NOP sled のパターン、不審な大容量アロケーション、shellcode の着地領域、プロセス VAD の証跡を特定し、Security Audit、マルウェアの初動トリアージ、exploit 検証に役立ちます。