Seminar Volatility Malware-Analyse und Rootkit-Erkennung

Inhaltsübersicht

• Einordnung des Themas in digitale Forensik, Incident Response und Malware-Analyse
• Aufbau der Arbeitsumgebung und sichere Arbeit mit Speicherabbildern
• Auswertung relevanter Artefakte mit Volatility 3
• Interpretation der Befunde ohne vorschnelle Schlussfolgerungen
• Dokumentation der Arbeitsschritte für nachvollziehbare Analysen
• Erkennung typischer Malware-Spuren im Arbeitsspeicher
• Analyse von Code-Injection, ungewöhnlichen VADs und verdächtigen Modulen
• Rootkit-Hinweise und Grenzen der Erkennbarkeit
• Extraktion verdächtiger Objekte und Vorbereitung für Folgeanalyse

Einordnung und Zielsetzung

Dieses Seminar behandelt Malware- und Rootkit-Spuren in Speicherabbildern. Der Schwerpunkt liegt auf verdächtigen Prozessen, injiziertem Code, versteckten Modulen, Hooking-Hinweisen, Netzwerkspuren, Extraktion und vorsichtiger Befundbewertung.

Das Seminar setzt auf nachvollziehbare Analysewege: erst wird das Speicherabbild technisch eingeordnet, danach werden Hypothesen gebildet, mit passenden Plugins geprüft und anschließend sauber dokumentiert. Dadurch entsteht keine Klickstrecke, sondern ein methodisches Vorgehen, das in realen Untersuchungen belastbar bleibt.

Arbeitsweise im Seminar

Die Übungen orientieren sich an typischen DFIR-Situationen: verdächtige Prozesse, auffällige Netzwerkaktivität, versteckte Module, Code-Injection, manipulierte Artefakte und unvollständige Ausgangsdaten. Jede Analyse wird in kleinen, überprüfbaren Schritten aufgebaut.

Schritt-für-Schritt-Vorgehen

1. Basistriage durchführen und verdächtige Prozessbeziehungen markieren
2. Module, Speicherbereiche, Handles und Netzwerkspuren vertiefen
3. Indikatoren für Injection, Tarnung oder Rootkit-Techniken prüfen
4. Verdächtige Artefakte kontrolliert extrahieren und hashbasiert sichern
5. Einzelbefunde mit alternativen Artefakten gegenprüfen
6. Malware-nahe Befunde mit Risiko, Sicherheit und Folgefragen dokumentieren

Praxisübungen

• Untersuchung eines Speicherabbilds mit injiziertem Code
• Prüfung ungewöhnlicher Modul- und Prozessartefakte
• Extraktion verdächtiger Speicherbereiche
• Erstellung einer Befundübersicht für Malware-Folgeanalyse

Zielgruppe

Malware-Analysten, Forensik-Analysten, Threat Hunter, Incident-Response-Spezialisten und SOC-Analysten. Geeignet ist das Seminar für Fachrollen, die Speicherabbilder nicht nur öffnen, sondern verwertbare technische Befunde ableiten müssen.

Voraussetzungen

Gute Grundlagen in Volatility, Betriebssystemen, Prozessen, Malware-Begriffen und sicherer Laborarbeit. Für die Laboranteile werden grundlegende Kommandozeilenkenntnisse und ein sorgfältiger Umgang mit Untersuchungsdaten vorausgesetzt.