20. Memory Analysis in Criminal Investigations

Das Kapitel geht auf die entscheidende Rolle der Gedächtnisanalyse bei strafrechtlichen Ermittlungen ein und hebt die Verwendung von Volatilitätsmodulen hervor, um wertvolle forensische Informationen zu extrahieren. Es beginnt mit einer Übersicht über die Identifizierung laufender Prozesse mithilfe des Pslist-Moduls und setzt sich mit der Extraktion von Netzwerkinformationen mittels netscan fort. Das envars-Modul wird wegen seiner Fähigkeit diskutiert, Umgebungsvariablen und Benutzeraktivitäten aufzudecken. Das Kapitel behandelt auch die Erkennung geöffneter Dateien mittels filescan und mftparser sowie das leistungsstarke yarascan-Modul für die Textsuche innerhalb von Speicherdumps. Zusätzlich untersucht es die Registrierungsanalyse mit Modulen wie Hivelist, Hashdump und Printkey. Das Kapitel schließt mit einer Erwähnung des Screenshot-Moduls zur Erzeugung von Mock-up-Screenshots aktiver Benutzersitzungen. Jeder Abschnitt wird von praktischen Beispielen und Einsichten begleitet, was ihn zu einer unschätzbaren Ressource für forensische Experten macht.