Seminar Volatility Intensivseminar Malware, Rootkits und Threat Hunting

Inhaltsübersicht

• Einordnung des Themas in digitale Forensik, Incident Response und Malware-Analyse
• Aufbau der Arbeitsumgebung und sichere Arbeit mit Speicherabbildern
• Auswertung relevanter Artefakte mit Volatility 3
• Interpretation der Befunde ohne vorschnelle Schlussfolgerungen
• Dokumentation der Arbeitsschritte für nachvollziehbare Analysen
• Malware-Spuren in Prozessen, Speicherbereichen, Modulen und Verbindungen
• Rootkit- und Tarntechniken im Kontext von Speicherartefakten
• Erkennung und Bewertung von Code-Injection und verdächtigen VADs
• Gezielte Extraktion und Voranalyse potenziell schädlicher Objekte

Einordnung und Zielsetzung

Dieses Intensivseminar bündelt alle Themen rund um schädliche Laufzeitartefakte. Im Mittelpunkt stehen verdächtige Prozesse, injizierter Code, versteckte Module, Rootkit-Hinweise, Speicherextraktion, YARA-gestützte Vorprüfung und Hunting-Logik.

Das Seminar setzt auf nachvollziehbare Analysewege: erst wird das Speicherabbild technisch eingeordnet, danach werden Hypothesen gebildet, mit passenden Plugins geprüft und anschließend sauber dokumentiert. Dadurch entsteht keine Klickstrecke, sondern ein methodisches Vorgehen, das in realen Untersuchungen belastbar bleibt.

Arbeitsweise im Seminar

Die Übungen orientieren sich an typischen DFIR-Situationen: verdächtige Prozesse, auffällige Netzwerkaktivität, versteckte Module, Code-Injection, manipulierte Artefakte und unvollständige Ausgangsdaten. Jede Analyse wird in kleinen, überprüfbaren Schritten aufgebaut.

Schritt-für-Schritt-Vorgehen

1. Hunting-Fragestellungen und technische Verdachtsmuster definieren
2. Prozess-, Modul- und Netzwerkübersichten auf Abweichungen prüfen
3. Verdächtige Speicherbereiche mit geeigneten Plugins vertiefen
4. Artefakte extrahieren, hashen und kontrolliert für Folgeanalysen ablegen
5. YARA- und Musterprüfungen als Hilfsmittel einsetzen und begrenzen
6. Hunting-Befunde in priorisierte technische Maßnahmen übertragen

Praxisübungen

• Analyse eines Speicherabbilds mit injiziertem Code
• Untersuchung versteckter oder ungewöhnlich geladener Module
• Extraktion verdächtiger Artefakte für Malware-Folgeanalyse
• Threat-Hunting-Fall mit Hypothesen, Prüfpfaden und Befundmatrix

Zielgruppe

Malware-Analysten, Threat Hunter, DFIR-Analysten, SOC-Teams und technische Security-Spezialisten. Geeignet ist das Seminar für Fachrollen, die Speicherabbilder nicht nur öffnen, sondern verwertbare technische Befunde ableiten müssen.

Voraussetzungen

Solide Grundlagen in Betriebssystemen, Malware-Begriffen, Volatility-Basisanalyse und sicherer Laborarbeit. Für die Laboranteile werden grundlegende Kommandozeilenkenntnisse und ein sorgfältiger Umgang mit Untersuchungsdaten vorausgesetzt.