RB-ANALYSIS-016: Geheugenanalyse

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Geheugenanalyse
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Verworven geheugenimage met geverifieerde hash
Metadata van de verwerving: host, besturingssysteem en versie, tijdstip van de dump, tool en toolversie
Forensisch werkstation met passende analysetooling
Bekende IOC's of hypotheses uit het onderzoek om de analyse te sturen

Benodigde tools:

Framework voor geheugenanalyse (bijv. Volatility, Rekall, MemProcFS)
YARA met relevante rulesets
Toegang tot een threat intelligence-platform (om IOC's op te zoeken)

2. Stap-voor-stap-instructies

Veelgemaakte fouten

Analyseren zonder metadata van de verwerving (verkeerd OS-profiel → onbetrouwbare resultaten)

Artefacten in het geheugen als absolute waarheid zien zonder bevestiging

Malware die alleen in het geheugen leeft missen door te smal te zoeken

Bevindingen niet koppelen aan de hash van het bronimage

Bevestig de integriteit van het image
- Verifieer dat de SHA-256-hash overeenkomt met het verwervingsrecord
- Bevestig dat het juiste OS-profiel / de juiste symboolset voor het image is geladen
Analyseer de actieve processen
- Stel vast:
  - Verdachte processen
  - Verborgen processen
  - Geïnjecteerde processen
  - Niet-ondertekende modules die in processen zijn geladen
  - Afwijkingen in parent-child-relaties (onverwachte afstamming)
Haal credential-artefacten uit het geheugen
- Inhoud van het LSASS-proces (NTLM-hashes, credentials in platte tekst, Kerberos-tickets, gecachte secrets)
- Windows-access tokens (primary en impersonation)
- Authenticatietokens (OAuth, sessiecookies, API-tokens)
- DPAPI-masterkeys
- SSH-sleutels / inhoud van de agent (Linux-/macOS-hosts)
- Cloud- / SaaS-credentials die in procesgeheugen zijn gecachet (AWS, Azure, GCP, OAuth-refresh tokens)
- Sessiegegevens in de browser (cookies, ontsleutelde wachtwoorden)
- Sporen van tooling voor credential dumping (mimikatz, procdump gericht op LSASS, secretsdump, lsassy)
Stel persistence in het geheugen vast
- Review:
  - Reflective DLL loading
  - Process hollowing
  - APC-injectie
  - Payloads die alleen in het geheugen leven
  - Kernel callbacks / driverinjectie

3. Na afloop

Documenteer de bevindingen en nieuwe IOC's in het incidentticket
Deel IOC's en TTP's met threat intelligence en detection engineering
Bewaar het geheugenimage volgens het bewaarbeleid voor bewijsmateriaal

Bijdrager

Vishal Thakur
GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.