Um pesquisador do SANS Internet Storm Center processou 1,3 TB de amostras de malware do MalwareBazaar, cobrindo fevereiro de 2020 a julho de 2026, para identificar qual toolchain de compilação gerou cada binário PE malicioso. O script, construído sobre a biblioteca pefile, combina leitura do Rich Header, do cabeçalho CLR (.NET) e heurísticas de string para atribuir compilador/linker às amostras. O resultado mostra predominância de binários 32-bit, forte presença do MSVC entre as amostras identificáveis e uma fatia relevante de amostras sem toolchain identificável, provavelmente por empacotamento ou remoção de metadados.
O Forensic Focus publicou um guia prático para identificar volumes BitLocker protegidos pelo modo Clear Key e descriptografá-los usando as ferramentas de código aberto dislocker e bdeinfo. O texto ensina a reconhecer a assinatura "-FVE-FS-" nos metadados FVE como indício de que a chave está armazenada em texto claro dentro da própria imagem, permitindo montar o volume NTFS decifrado sem senha de recuperação.
Logs de eventos do Windows rotacionam e se sobrescrevem rápido. O artigo defende o arquivamento contínuo como pré-condição para reconstruir a timeline de um incidente — sem os logs preservados, boa parte da história do ataque desaparece.
Pesquisadores do time da Volatility detalham como versões modernas do Windows quebraram as técnicas antigas de detecção de raw sockets em memória, e apresentam um plugin para Volatility 3 que localiza essas estruturas via pool tag. A técnica oferece um artefato forense direto para identificar malware que faz sniffing de rede ou constrói pacotes customizados para C2.