Bereich 06
Manche Spuren existieren nur im RAM: dateilose Payloads, injizierter Code, Netzwerkzustand und versteckte Prozesse. Dieser Bereich behandelt die Sicherung mit LiME und AVML, das Erstellen von Volatility-3-Symboltabellen für den exakten Kernel und die wichtigsten Plugins.
Wichtige Artefakte
Diese Leitfäden sind derzeit nur auf Englisch verfügbar. Die folgenden Links öffnen die englische Fassung.
Acquire Linux RAM with LiME or AVML, build Volatility 3 symbol tables with dwarf2json, and find hidden processes, rootkit modules and bash history in memory.
Wo jedes Artefakt liegt, was es belegt, seine Zeitstempel und die Tools zur Auswertung.