МЕТОДИ ТА ЗАСОБИ ФОРЕНЗИЧНОГО АНАЛІЗУ ОПЕРАТИВНОЇ ПАМ’ЯТІ ДЛЯ ВИЯВЛЕННЯ ПРИХОВАНИХ ПРОЦЕСІВ У КОМП’ЮТЕРНИХ СИСТЕМАХ

Анотація

У статті розглянуто проблему виявлення прихованих процесів та ін’єктованого шкідливого коду в оперативній пам’яті комп’ютерних систем під керуванням Microsoft Windows 11. Актуальність дослідження обумовлена стрімким зростанням частки безфайлових атак, які повністю розгортаються в RAM і не залишають слідів, доступних класичним засобам антивірусного та EDR-моніторингу. Метою статті є формалізація методики виявлення прихованих процесів через аналіз структур пам’яті — VAD-дерева та сторінкової організації — з використанням фреймворку Volatility 3 та подальшою зовнішньою валідацією результатів. У роботі систематизовано теоретичні засади організації віртуальної пам’яті Windows, проведено порівняльний аналіз шести інструментів збору дампів та чотирьох фреймворків аналізу, простежено еволюцію методів приховування шкідливого коду. Запропонована методика побудована як шестиетапний процес: підготовка, збір волатильних даних, тріаж, поглиблений аналіз у трьох паралельних гілках (процеси, пам’ять, мережа), крос-верифікація через зовнішні платформи кіберрозвідки та звітування з документуванням ланцюга збереження доказів. Експериментальна верифікація методики проведена на сценарії контрольованої атаки з використанням Metasploit Meterpreter та подальшої міграції шкідливого коду в адресний простір легітимного процесу explorer.exe Windows 11 за технікою T1055.001 згідно класифікації MITRE ATT&CK. Виявлено стійкий комплекс індикаторів компрометації: два приватні RWX-регіони пам'яті, характерний x86-64 пролог shellcode-у з типовим патерном звертання до PEB через сегмент GS, асиметрію VAD-дерева з відсутністю зв'язку аномальних регіонів з файлами на диску, а також жорстко закодовану адресу командно-керуючого сервера. Незалежна валідація через платформу VirusTotal підтвердила належність артефакту до сімейства shellcode/marte з рівнем виявлення 17 з 62 антивірусних двигунів. Порівняльний аналіз з еталонним дампом однозначно довів, що виявлені аномалії є наслідком модельованої атаки. Виявлені артефакти зіставлено з шістьма техніками матриці MITRE ATT&CK. Методика придатна для безпосереднього застосування у навчальному процесі підготовки фахівців з кібербезпеки та у практиці інцидент-респонсу.