Um estudo de validação de um pipeline de triagem de forense de memória para imagens Windows — que converte saídas do Volatility 3 em grafos e aplica um classificador neural (GINE) combinado com detectores one-class — descobriu que amostras rotuladas como "benignas" no dataset MalVol-25 exibem sinais de injeção de processo e indicadores de comando-e-controle em praticamente todos os casos de controle (15/15 e 18/18). O mesmo defeito reaparece em datasets públicos amplamente citados, como o CIC-MalMem-2022, onde 53% das amostras "benignas" carregam indicadores de injeção. Os autores chamam isso de "label-signal mismatch": a classe benigna nunca foi de fato verificada, apenas presumida pela proveniência da coleta.
A edição semanal da Forensic Focus traz um artigo técnico sobre persistência por WMI Permanent Event Subscription (ActiveScriptEventConsumer), do registro à execução e artefatos de memória, com regras Sigma para detecção. Também destaca a versão 4 do MD-RED, com análise de mídia por IA e varredura de malware em forense móvel, e um episódio de podcast sobre o desenvolvimento do Amped FIVE.
O Forensic Focus publicou um guia prático sobre como atacantes usam assinaturas permanentes de eventos WMI, em especial o consumidor ActiveScriptEventConsumer, para manter persistência furtiva em sistemas Windows comprometidos. O artigo percorre o ciclo completo: registro da assinatura, disparo e execução do código malicioso, artefatos deixados em disco e memória, detecção via regras Sigma e remoção segura durante a resposta a incidente.
Artigo publicado na Forensic Science International: Digital Investigation (volume 58, setembro de 2026) propõe uma análise forense da memória de aplicações web de IA generativa, usando o ChatGPT como estudo de caso. O trabalho investiga quais vestígios de uso — prompts, respostas, tokens de sessão e metadados de conversa — permanecem recuperáveis a partir da memória do navegador e do processo do dispositivo do usuário.
A edicao semanal do Forensic Focus reune avancos tecnicos relevantes para peritos: um framework premiado no DFRWS USA 2026 para forense de memoria de malware escrito em Go, novos parsers para bancos de notificacao e Biome streams do iOS, rastros forenses deixados por assistentes de IA integrados a navegadores, e uma tecnica de anti-forense usada pela variante de botnet Mirai batizada Tengu. O conjunto ilustra bem a velocidade com que novos artefatos e tecnicas de evasao surgem no dia a dia da pericia digital.
Quando os logs de auditoria em disco não são confiáveis, dá para reconstruir conexões e consultas executadas a partir da memória volátil do processo do MySQL. O trabalho apresenta um algoritmo para isso e mostra que a pilha de consultas tem capacidade finita, o que orienta a frequência de coleta.
Pesquisadores do time da Volatility detalham como versões modernas do Windows quebraram as técnicas antigas de detecção de raw sockets em memória, e apresentam um plugin para Volatility 3 que localiza essas estruturas via pool tag. A técnica oferece um artefato forense direto para identificar malware que faz sniffing de rede ou constrói pacotes customizados para C2.
A equipe do Volatility divulgou os vencedores da 9ª edição do concurso anual de plugins, com sete submissões de sete países cobrindo forense de memória de containers Docker, extração de configuração do Cobalt Strike, análise de Rich header para detectar processos mascarados e recuperação de credenciais do LastPass. O material é relevante por documentar extensões concretas de uma das principais ferramentas open-source de análise de memória usadas em resposta a incidentes.
A equipe do Volatility publicou um estudo de caso mostrando como detectar o ataque Skeleton Key do Mimikatz, que injeta código no lsass.exe e força o downgrade de Kerberos AES para RC4, criando uma senha universal para qualquer conta do Active Directory. O post documenta o plugin windows.skeleton_key_check, que valida diretamente a estrutura _KERB_ECRYPT em memória em vez de depender de heurísticas sujeitas a falso positivo.
O Volatility Foundation anunciou a beta pública do Volatility 3, reescrito do zero para lidar com o crescimento no tamanho das amostras de RAM e cenários com múltiplas capturas de memória por investigação. A nova arquitetura elimina a dependência de profiles fixos, adiciona resolução automática de símbolos e suporte adequado a código 32 bits rodando sob WoW64 em sistemas 64 bits.