تکنیک‌هایی مثل process injection، reflective loading و shellcode اجرایی روی دیسک رد کمی می‌گذارند. سیستم‌کال یافته‌های حافظه همان پردازه را نشان می‌دهد تا triage بدون انتظار forensic کامل پیش برود.
یافته‌های کلیدی
- ناحیه اجرایی خصوصی (RWX) و نگاشت آدرس
- ماژول بدون فایل روی دیسک (unbacked / hollowed)
- هدر PE تزریق‌شده و رشته‌های مشکوک
- تطبیق YARA روی محتوای دامپ
این لایه مخصوصاً برای نمونه‌های fileless و تایید تکنیک‌هایی مثل T1055 حیاتی است.