Estudo mede taxas de sobrevivência de artefatos forenses em 49 intrusões confirmadas por malware fileless
Publicado na Forensic Science International: Digital Investigation, o artigo de Stephin Paul propõe uma análise empírica sobre lacunas de visibilidade forense em incidentes de malware fileless, medindo quanto tempo diferentes tipos de artefato sobrevivem após 49 intrusões confirmadas. Não foi possível acessar o texto completo (bloqueio HTTP 403 da ScienceDirect); a análise a seguir é contextual, baseada no título e tema do trabalho.
Malware "fileless" — que opera majoritariamente em memória, abusa de PowerShell, WMI, agendador de tarefas e outras ferramentas legítimas do sistema (living-off-the-land) — é reconhecidamente um dos cenários mais difíceis para investigação pós-incidente, justamente porque deixa poucos ou nenhum artefato persistente em disco. O título do artigo indica um esforço empírico para quantificar esse problema em casos reais: em vez de discutir a dificuldade de forma abstrata, os autores parecem ter medido, a partir de 49 intrusões confirmadas, quais fontes de evidência (memória RAM, logs de eventos do Windows, prefetch, registro, artefatos de rede) efetivamente sobreviveram tempo suficiente para serem coletadas e analisadas.
Não foi possível confirmar aqui os números exatos reportados pelo estudo, já que o acesso ao artigo completo foi bloqueado e o RSS da ScienceDirect não disponibiliza o abstract — apenas título, autoria e data de publicação. Qualquer afirmação sobre percentuais específicos de sobrevivência de artefatos seria especulação e por isso foi evitada nesta análise.
Mesmo sem os números, o tema tem valor prático direto para quem faz resposta a incidentes: uma linha de base empírica sobre "o que realmente sobrevive" em cenários fileless ajuda a priorizar coleta de evidência sob pressão de tempo (por exemplo, dar prioridade a captura de memória viva antes de reboot, ou a exportação de logs antes de rotação), e serve de argumento objetivo para justificar investimento em telemetria contínua (EDR, logging expandido de PowerShell/WMI) em vez de depender de forense post-mortem tradicional baseada em disco, que tende a ter visibilidade estruturalmente limitada nesses casos.