بعضی نمونه‌ها روی دیسک مودب‌اند. فایل را پاک می‌کنند، از LOLBin استفاده می‌کنند، یا payload را مستقیم در حافظه پهن می‌کنند. اگر فقط پوشه‌ها را بگردید، ممکن است بگویید «چیزی نبود.»
Memory triage یعنی چه (نسخهٔ شیفت)؟
نه لزوماً فورنزیک کامل RAM با گزارش ۵۰ صفحه‌ای. یعنی در بازهٔ تحلیل، نگاهی هدفمند به نشانه‌هایی که می‌گویند کد از جایی غیرعادی اجرا می‌شود:
- ناحیه اجرایی بدون فایل پشتیبان
- تزریق به پردازهٔ دیگر
- hit یارای حافظه روی الگوی شناخته‌شده
- رشته‌های C2 که روی دیسک نبودند
کی سراغ حافظه بروید؟
- درخت پردازه تزریق را پیشنهاد می‌کند
- رفتار شبکه از پردازهٔ سیستمی می‌آید
- drop فایل موقت است و سریع پاک می‌شود
- Static تقریباً خالی است ولی Dynamic شلوغ
اگر تزریق برای‌تان مبهم است، T1055 را اول بخوانید.
سبک و سریع؛ نه غرق در ابزار
روی میز SOC زمان محدود است. هدف این نیست که همهٔ regionها را دستی reverse کنید. هدف این است که بگویید:
در دقیقه ۱۲، داخل
explorer.exeناحیهٔ اجرایی بدون image دیدیم و همان بازه به دامنه X وصل شد.
همین جمله برای IR و detection کافی است تا اولویت بالا برود.
دام‌ها
- هر RWXی بد نیست؛ زمینه لازم است
- dump بدون برچسب زمان به درد تیم بعد نمی‌خورد
- ابزارهای کمکی امنیتی خودشان رد حافظه می‌گذارند — baseline مهمان را بشناسید
جمع‌بندی
حافظه لایهٔ حقیقت برای رفتار fileless است. در سندباکس خوب، حافظه را وقتی باز می‌کنید که دیسک و لاگ ناکافی‌اند — نه از روی عادت نمایشی. سیستم‌کال این لایه را کنار بازپخش و رویدادها می‌گذارد تا triage سبک عملاً ممکن باشد.