Memory-Forensik ist ein Teilgebiet der digitalen Forensik, das den Arbeitsspeicher (RAM) eines Systems untersucht. Der flüchtige Speicher enthält Informationen, die auf der Festplatte nie landen: laufende Prozesse, geöffnete Netzwerkverbindungen, injizierten Code und oft Passwörter oder Schlüssel im Klartext.
Warum RAM-Analyse?
Viele Angriffe hinterlassen auf dem Datenträger kaum Spuren. Dateilose Schadsoftware (Fileless Malware) lebt ausschließlich im Speicher, und Rootkits verstecken ihre Prozesse gezielt vor dem Betriebssystem. Eine reine Festplatten-Analyse übersieht solche Befunde – die Memory-Forensik macht sie sichtbar.
Ablauf
- Akquisition: Zuerst wird ein Abbild des Arbeitsspeichers erstellt (RAM-Dump). Gängige Werkzeuge sind FTK Imager, Magnet RAM Capture, Belkasoft Live RAM Capturer oder LiME für Linux. Wichtig: Das System darf vorher nicht heruntergefahren werden, sonst ist der Speicher verloren.
- Analyse: Das Abbild wird mit einem Analyse-Framework ausgewertet.
Der Open-Source-Standard ist Volatility 3: Er unterstützt Windows-, Linux- und macOS-Abbilder und bringt über 100 Plugins mit. Dazu gehören pslist/psscan (Prozessliste), netscan (Netzwerkverbindungen), malfind (Suche nach injiziertem Code) und hashdump (Extraktion von Passwort-Hashes). Mit dem Plugin yarascan lassen sich YARA-Regeln direkt auf den Speicher anwenden.
Praxis
Memory-Forensik ist ein zentraler Baustein der Malware-Analyse und des Incident Response. Sie hilft, Rootkits aufzuspüren, verschlüsselte Prozesse zu enttarnen und Indikatoren für eine Kompromittierung zu finden, die auf der Platte keine Spuren hinterlassen.
Verwandte Grundlagen: Digitale Forensik, YARA, Sandbox.