Malware kan detekteres på en computer ved at analysere forskellige digitale spor samlet. Et enkelt virusscanningsresultat er ikke altid tilstrækkeligt. Det afgørende er, om det kan bestemmes, hvilken mistænkelig fil eller aktivitet der var til stede, om den rent faktisk blev udført, hvilke ændringer den forårsagede, og om andre spor tilhører den samme tekniske proces.

For at kunne fremlægge pålidelig dokumentation kan filer, kryptografiske hashværdier, kørende eller tidligere processer, autostartmekanismer, Windows-hændelseslogfiler, registreringsdatabaseposter, planlagte opgaver, tjenester, browserdata, netværksforbindelser og hukommelsesoplysninger blandt andet undersøges.

Undersøgelsen går således langt ud over spørgsmålet om, hvorvidt et antivirusprogram identificerer en fil som skadelig. Vidensartiklen "Hvad er Malware Forensics?" forklarer den overordnede metode. Computerforensics giver også grundlaget for at undersøge spor af operativsystem, bruger og filer på en computer.

Hvad betyder det egentlig at opdage malware?

En ordentlig undersøgelse skal adskille forskellige spørgsmål fra hinanden.

For det første kan det fastslås, at en mistænkelig eller kendt malware-fil var til stede på et system.

For det andet kan det undersøges, om denne fil rent faktisk blev udført.

For det tredje kan det undersøges, hvilke ændringer eller efterfølgende aktiviteter der efterfølgende fandt sted i systemet.

Disse tre udsagn er ikke ens.

Er det tilstrækkeligt, at en virusscanner rapporterer malware?

Nej.

Et virusscannerhit er i første omgang en teknisk indikator. Det kan være meget informativt, men det erstatter ikke automatisk en retsmedicinsk analyse.

For eksempel er det nødvendigt at kontrollere, hvilken fil der blev registreret, hvor den blev gemt, hvornår den kom ind i systemet, og om den rent faktisk blev udført.

Derudover kan virusscannere generere falske alarmer.

Kan en virusscanner give falsk positiv?

Ja.

En såkaldt falsk positiv opstår, når en legitim fil eller aktivitet fejlagtigt klassificeres som malware.

Derfor bør et relevant match verificeres ved hjælp af yderligere tekniske karakteristika.

Er det muligt, at der kan være malware til stede, selvom virusscanneren ikke finder noget?

Ja.

En negativ virusscanning udelukker ikke fuldstændigt en kompromittering.

Malware kan være ukendt, ændret eller allerede fjernet. Desuden kan angribere bruge legitime operativsystemfunktioner uden permanent at gemme en traditionel malwarefil på disken.

Hvordan kan en mistænkelig fil identificeres som malware?

En mistænkelig fil kan undersøges baseret på forskellige egenskaber.

Dette omfatter filtype, filstruktur, kryptografiske hashværdier, digitale signaturer, indeholdte strenge, importerede funktioner og andre tekniske egenskaber.

Derudover kan kendte trusselsinformationer eller malwaredatabaser give spor.

Hvilken rolle spiller hashværdier?

En kryptografisk hashværdi kan bruges til entydigt at karakterisere en specifik fil.

Hvis hashværdien af ​​en kendt malware er kendt og matcher den fil, der undersøges, kan dette være en stærk indikation af dens identitet.

Men selv små ændringer i en fil resulterer normalt i en anden kryptografisk hashværdi.

Hvorfor er en enkelt hashværdi ikke altid tilstrækkelig?

Malware kan modificeres, rekompileres eller teknisk pakkes.

Dette kan medføre, at hashværdien ændres, selvom filen funktionelt er tæt relateret til en kendt malware-familie.

Derfor betyder en ukendt hash ikke automatisk, at en fil er sikker.

Hvad er YARA-reglerne?

YARA-regler søger efter definerede tekniske mønstre i filer eller hukommelsesindhold.

For eksempel kan du kombinere karakteristiske strenge, bytesekvenser eller andre funktioner.

Et YARA-hit skal evalueres professionelt. Dets betydning afhænger af kvaliteten og specificiteten af ​​den anvendte regel.

Kan malware detekteres baseret på dens adfærd?

Ja.

Mistænkelig adfærd kan f.eks. omfatte opstart af nye processer, ændring af sikkerhedsindstillinger, opsætning af persistensmekanismer eller etablering af usædvanlige netværksforbindelser.

Adfærdsanalyse er særligt vigtig, når en fil ikke kan identificeres ved hjælp af en kendt hashværdi.

Hvad betyder heuristisk malwaredetektion?

Heuristiske metoder evaluerer mistænkelige karakteristika eller adfærdsmønstre uden at kræve en præcis kendt malwarevariant.

Dette kan også hjælpe med at identificere nye eller ændrede trusler.

Heuristiske hits skal dog kontrolleres særligt omhyggeligt for mulige falske alarmer.

Hvordan kan det afgøres, om en malware-fil rent faktisk er blevet udført?

Eksistensen af ​​en fil beviser ikke udførelse.

Afhængigt af operativsystemet kan forskellige udførelsesartefakter undersøges. Disse omfatter f.eks. procesinformation, systemlogfiler, brugeraktivitet, prefetch-data eller andre tekniske spor.

De tilgængelige data afhænger af systemet, konfigurationen og tidspunktet for hændelsen.

Hvorfor er udførelse vigtigere end blot at finde filen?

For eksempel kan en skadelig fil kun være blevet gemt i downloadmappen uden nogensinde at blive startet.

I dette tilfælde afviger risikovurderingen væsentligt fra en fil, der har vist sig at være blevet udført og efterfølgende har forårsaget yderligere ændringer i systemet.

Hvilke spor kan malware efterlade, efter den er blevet udført?

Det afhænger af den specifikke malware.

Mulige spor omfatter nyoprettede filer, ændrede områder i registreringsdatabasen, planlagte opgaver, nye tjenester, autostart-poster, netværksforbindelser, midlertidige filer eller andre systemændringer.

Et pålideligt bevis opstår ofte kun fra kombinationen af ​​flere sådanne artefakter.

Hvad er persistensmekanismer?

Persistensmekanismer tillader malware eller en angriber at bevare adgangen til et system, selv efter en genstart.

Dette kan f.eks. opnås ved at bruge autostartområder, planlagte opgaver, tjenester eller andre operativsystemfunktioner.

Hvordan undersøges autostart-poster?

Autostartmekanismer kan bruges af legitim software og malware.

En undersøgelse kontrollerer derfor ikke kun, om en indtrængen eksisterer. Afgørende faktorer omfatter målprogrammet, dets oprindelse, tidspunktet for indtrængen og dets forbindelse til andre mistænkelige aktiviteter.

Hvilken rolle spiller Windows-registreringsdatabasen?

Windows-registreringsdatabasen indeholder et væld af oplysninger om systemkonfiguration, brugermiljø og installeret software.

Afhængigt af malwaren kan der være tegn på vedvarende virus, programkørsel eller ændrede systemindstillinger.

Hvilken rolle spiller planlagte opgaver?

Planlagte opgaver er en normal Windows-funktion.

Angribere kan dog bruge dem til at køre programmer automatisk eller på bestemte tidspunkter.

Derfor bør en ukendt planlagt opgave undersøges i sin tekniske kontekst.

Hvilken rolle spiller Windows-tjenester?

Windows-tjenester kan blive aktive, så snart systemet starter og kører i baggrunden.

Malware kan også forsøge at oprette en tjeneste eller misbruge eksisterende tjenestemekanismer.

Hvilken rolle spiller Windows-hændelseslogfiler?

Windows-hændelseslogfiler kan indeholde oplysninger om logins, systemændringer, tjenester, sikkerhedshændelser og andre aktiviteter.

De kan derfor give vigtige tidsmæssige spor til rekonstruktionen af ​​en malware-hændelse.

Hvilke hændelser der rent faktisk er til stede, afhænger dog af logføring, konfiguration og opbevaringsperiode.

Kan slettede logs bevise et angreb?

En uventet sletning af logfiler kan være en sikkerhedsrisiko.

Det alene beviser dog ikke et malwareangreb.

Det er vigtigt at fastslå, om tidspunktet og omstændighederne stemmer overens med andre mistænkelige systemaktiviteter.

Hvilken rolle spiller browserdata?

Browserdata kan indeholde oplysninger om downloads, besøgte websteder, phishing-sider eller andre relevante aktiviteter.

Hvis malware for eksempel er kommet ind i systemet via en download, kan browser- og filsystemoplysninger evalueres sammen.

Er det muligt at spore, om malware er ankommet via en vedhæftet fil i en e-mail?

Ja, under passende forhold.

Den originale e-mail, den vedhæftede fil, tidsstempler for filer, download- eller lagringsplaceringer og mulige udførelsesartefakter kan sammenlignes.

Kan malware komme ind på en computer via et link?

Ja, det afhænger af det specifikke angreb.

Et link kan føre til en downloadside eller anspore til yderligere handlinger. Det er dog ikke sikkert, at infektionen er lykkedes blot at besøge et websted.

Kan malware introduceres via en USB-stick?

Som udgangspunkt ja.

Om et bestemt USB-drev rent faktisk var kilden til en infektion, skal undersøges ved hjælp af oplysninger om enhed, fil og tidspunkt.

Kan malware udføres via fjernvedligeholdelsessoftware?

Fjernvedligeholdelsessoftware har legitime anvendelser.

Hvis en angriber imidlertid får adgang til en tilsvarende fjernvedligeholdelseskonto eller en eksisterende session, kan yderligere aktiviteter udføres.

Den blotte eksistens af fjernvedligeholdelsessoftware beviser derfor ikke et angreb.

Hvilken rolle spiller RAM?

Under en igangværende malwareinfektion kan RAM'en indeholde særligt værdifulde oplysninger.

Dette omfatter processer, indlæste moduler, netværksforbindelser og andre flygtige data.

Disse oplysninger går generelt tabt, når computeren slukkes.

Hvad er hukommelsesforensik?

Hukommelsesforensik refererer til den retsmedicinske undersøgelse af arbejdshukommelsen.

Dette muliggør blandt andet analyse af kørende processer, lagringsstrukturer og aktive netværksforbindelser.

Kan malware kun køre i RAM?

Visse angrebsteknikker forsøger at efterlade så få traditionelle filer som muligt på databæreren.

Sådanne angreb omtales ofte som filløse eller hukommelsesbaserede.

Dette betyder dog ikke automatisk, at der ikke skabes andre digitale spor.

Hvad betyder filløs malware?

Filløse angreb bruger RAM og eksisterende systemværktøjer i større grad i stedet for udelukkende at gemme klassiske malwarefiler permanent.

Undersøgelsen skal derfor også tage højde for proces-, lagrings- og systemaktiviteter.

Hvad betyder "at leve af jorden"?

"Living-off-the-Land"-teknikker involverer angribere, der bruger legitime programmer og operativsystemfunktioner til ondsindede formål.

En traditionel virusscanner kan have sværere ved at klassificere sådanne aktiviteter, fordi de anvendte programmer i sig selv kan være legitime.

Hvilken rolle spiller PowerShell?

PowerShell er et legitimt administrationsværktøj til Windows.

Angribere kan også bruge PowerShell til downloads, scripts eller andre aktiviteter.

Den blotte brug af PowerShell er derfor ikke bevis for et angreb. Det, der betyder noget, er de udførte kommandoer og den tekniske kontekst.

Kan netværksforbindelser registrere malware?

Netværksforbindelser kan give vigtige yderligere oplysninger.

Hvis en mistænkelig proces for eksempel etablerer en forbindelse til en kendt kommando- og kontrolinfrastruktur, kan dette styrke mistanken betydeligt.

En enkelt ukendt IP-adresse er dog ikke tilstrækkelig som endegyldigt bevis.

Hvad er kommando-og-kontrol-kommunikation?

Kommando-og-kontrol-kommunikation refererer til forbindelser, hvorigennem kompromitterede systemer kan modtage kommandoer eller overføre information.

Sådanne forbindelser kan etableres via forskellige protokoller og tekniske infrastrukturer.

Hvilken rolle spiller DNS-data?

DNS-data kan vise, hvilke domænenavne et system eller en proces ønskede at løse.

De kan derfor give spor om kontakter til mistænkelige servere.

Også her er en tidsmæssig og teknisk klassificering nødvendig.

Kan en IP-adresse bevise, at malware har kommunikeret?

Ikke alene.

Forbindelsen skal kunne tilskrives en relevant proces eller begivenhed.

Derudover kan domæner og IP-adresser ændre deres funktion over tid.

Kan malware detekteres, hvis det allerede er blevet slettet?

Ja, under visse betingelser.

Selv efter sletning af den originale fil kan der stadig være udførelsesartefakter, persistensposter, logfiler, netværksdata eller andre spor.

En fuldstændig rekonstruktion kan dog ikke garanteres.

Kan en angriber slette alle spor af malware?

Angribere kan forsøge at fjerne filer og logfiler.

Digital information genereres dog ofte på flere steder. Selv hvis lokale data er blevet slettet, kan firewall-, cloud-, DNS- eller andre centrale logfiler stadig indeholde relevante oplysninger.

Er det muligt at fastslå, hvornår malware blev installeret?

Delvist.

Filtidsstempler, downloadspor, installationsoplysninger, systemhændelser og andre artefakter kan give en tidsramme til at indsnævre tidsperioden.

Et enkelt tidsstempel bør dog ikke automatisk fortolkes som smittetidspunktet.

Kan det fastslås, hvad malwaren har gjort?

Under egnede forhold kan efterfølgende aktiviteter rekonstrueres.

Dette kan omfatte filændringer, processtarter, persistens, netværkskommunikation eller adgang til specifikke data.

Undersøgelsen er dog altid begrænset til de spor, der stadig er til stede.

Kan det afgøres, om data er blevet stjålet?

Dette er ofte vanskeligere end blot at bevise tilstedeværelsen af ​​malware.

Malware kan teoretisk set have haft adgang til data uden automatisk at antyde, at disse oplysninger faktisk blev overført.

For at undersøge et potentielt databrud skal yderligere netværks-, fil- eller anden aktivitetsspor undersøges.

Kan en informationstyveri bevises?

Ja, under passende forhold.

Infotyve kan efterlade karakteristiske filer, processer, netværksforbindelser eller andre artefakter.

Derudover kan der forekomme ukendte sessioner eller kontoaktivitet efter hændelsen.

Kan en trojansk hest detekteres?

Trojanere kan også undersøges ved hjælp af filer, udførelsesartefakter, systemændringer og netværksaktivitet.

Den specifikke procedure afhænger af den specifikke malware og operativsystemet.

Kan ransomware bevises?

Ja.

Ransomware efterlader typisk tydeligt synlige konsekvenser såsom krypterede filer eller krav om løsepenge.

For retsmedicinsk undersøgelse er begivenhederne forud for krypteringen dog også vigtige, såsom den oprindelige adgang og mulige tidligere databevægelser.

Hvordan scannes en privat computer for malware?

Selv med privatpersoner begynder en meningsfuld undersøgelse med et specifikt spørgsmål.

Var der en mistænkelig e-mail? Blev en ukendt fil åbnet? Er der kompromitteret nogen konti? Er der ukendte forsøg på fjernadgang eller usædvanlige banktransaktioner?

Disse oplysninger bestemmer, hvilke spor der skal undersøges med prioritet.

Min computer er pludselig langsom – er det malware?

Ikke nødvendigvis.

Langsom ydeevne kan skyldes hardware, opdateringer, hukommelsesproblemer, baggrundsprogrammer eller mange andre årsager.

En langsom computer alene er ikke et bevis på malware.

Min computer bliver varm – er det malware?

Ikke automatisk.

Høj systembelastning, opdateringer, spil, videoredigering eller hardwareproblemer kan forårsage de samme symptomer.

Min blæser kører konstant – har jeg malware?

Det er heller ikke en pålidelig indikator.

Den afgørende faktor er, hvilke processer der forårsager systembelastningen, og om der er andre sikkerhedsrelevante anomalier.

Jeg har åbnet en ukendt vedhæftet fil i en e-mail – hvad skal jeg gøre?

Dokumentér først den originale besked og den vedhæftede fil.

Hvis der er en væsentlig interesse i at indhente beviser, bør du ikke forhastet slette eller gentagne gange åbne mistænkelige filer.

I tilfælde af en akut sikkerhedsrisiko kan det samtidig være nødvendigt at isolere systemet.

Jeg downloadede en mistænkelig fil – er jeg inficeret?

Ikke nødvendigvis.

At downloade og faktisk køre en fil er to forskellige processer.

En retsmedicinsk undersøgelse kan forsøge at fastslå, om filen kun blev gemt eller også blev udført.

Min virusscanner rapporterer en trojansk hest – hvad skal jeg sikkerhedskopiere?

Dokumentér detektionsnavnet, filstien, tidspunktet og den handling, som virusscanneren har udført.

I tilfælde af et senere behov for bevismateriale kan disse oplysninger hjælpe med at klassificere hitteret med hensyn til tid og teknologi.

Skal jeg slette malwaren med det samme?

Hvis det primære mål blot er oprydning, kan fjernelse være en fornuftig løsning.

Men hvis målet er at afklare, hvad der skete, kan en for tidlig sletning ændre vigtige beviser.

Derfor skal sikring af beviser og begrænsning af skader afvejes mod hinanden ud fra den konkrete risiko.

Skal jeg slukke computeren med det samme?

Ikke på tværs af linjen.

Når en computer lukkes ned, går flygtige hukommelsesoplysninger tabt. Omvendt kan en kompromitteret computer, der forbliver aktiv, forårsage yderligere skade.

I tilfælde af en alvorlig hændelse bør der derfor så vidt muligt træffes en kontrolleret beslutning om, hvordan systemet skal sikres eller isoleres.

Skal jeg geninstallere Windows?

En ny installation kan være nyttig senere til oprydning.

Men hvis hændelsen skal undersøges først, kan det ødelægge vigtige system- og filspor.

Kan malware stadig detekteres efter en ny installation?

En ny installation ændrer de oprindelige data betydeligt.

Dette kan gøre efterfølgende rekonstruktion betydeligt vanskeligere eller nogle gange umulig.

Yderligere eksterne datakilder kan stadig indeholde oplysninger.

Hvilken rolle spiller et retsmedicinsk billede?

Et retsmedicinsk billede kan skabe et defineret grundlag for undersøgelse af databæreren.

Dette gør det muligt at udføre efterfølgende analyser på en kontrolleret, sikkerhedskopieret kopi i stedet for unødvendigt at ændre det oprindelige system.

Hvilken rolle spiller cyberforensik?

Malware er ofte kun én del af en større sikkerhedshændelse.

Den tidligere udgivne vidensartikel “Hvad er cyberforensik?” omhandler efterforskning af cyberangreb og kompromitterede IT-systemer på et højere niveau.

Hvornår er professionel malware-forensik nyttig?

En professionel undersøgelse er især nyttig, hvis målet ikke kun er at fjerne malware, men også at rekonstruere den faktiske hændelsesforløb.

Dette gælder for eksempel kompromitterede brugerkonti, potentielle datalækager, økonomisk skade, ransomware eller juridisk relevante sikkerhedshændelser.

Oplysninger om den specifikke undersøgelse kan findes på siden for Malware Forensics -tjenesten.

IT-forensisk analyse i tilfælde af mistanke om malware

LB Forensics undersøger relevante sikkerhedshændelser landsdækkende. Regionale oplysninger kan f.eks. findes under IT Forensics for Frankfurt , IT Forensics for Nürnberg og IT Forensics for Hamborg . Uanset placering er undersøgelsesmetoden skræddersyet til enheden, systemstatus og de specifikke spørgsmål, der stilles.

Hvad kan malware-beviser egentlig bevise?

Pålidelig bevismateriale kan for eksempel vise, at en specifik malware-fil er til stede eller er blevet udført.

Yderligere spor kan bevise, at der er opstået systemændringer eller netværksforbindelser.

Detektion af malware alene beviser dog ikke automatisk, hvem der udførte angrebet, eller hvilke data der rent faktisk blev læst eller overført.

Kan malware-efterforskning identificere gerningsmanden?

Ikke automatisk.

Tekniske spor kan afsløre domæner, IP-adresser, brugerkonti eller anden infrastruktur.

I mange tilfælde er yderligere undersøgelser nødvendige for endeligt at forbinde et datapunkt med en fysisk person.

Hvad betyder et negativt resultat af en malwaretest?

Et negativt resultat betyder, at der ikke blev fundet pålidelige beviser for den eftersøgte malware eller aktivitet i den undersøgte database.

Det beviser ikke nødvendigvis, at en sikkerhedshændelse aldrig har fundet sted.

Ofte stillede spørgsmål: Hvordan kan malware opdages på computeren?

Kan en virusscanner opdage malware?

Et hit kan være et vigtigt spor, men i sager, der er relevante for bevisførelse, bør det klassificeres teknisk.

Er det muligt, at malware kan være til stede, selvom ingen virusscanner registrerer det?

Ja. Ukendt, ændret eller allerede fjernet malware kan muligvis ikke registreres ved en simpel scanning.

Hvordan kan man se, om der er blevet udført malware?

Afhængigt af systemet kan udførelsesartefakter, processer, logfiler og andre systemoplysninger give bevis for faktisk udførelse.

Er én mistænkelig fil tilstrækkelig som bevis?

Nej. Filen kan eksistere uden nogensinde at være blevet udført.

Kan slettet malware stadig detekteres?

Under visse betingelser kan der stadig være spor af udførelse, system eller netværk.

Kan malware kun køre i RAM?

Visse angrebsteknikker kan være meget hukommelsesbaserede. Ikke desto mindre kan andre tekniske artefakter stadig opstå.

Hvad er YARA-reglerne?

YARA-regler søger efter karakteristiske tekniske mønstre i filer eller hukommelsesindhold.

Hvad er IOC'er?

Indikatorer for kompromis er tekniske karakteristika, der kan indikere et muligt kompromis.

Kan malware detekteres ved hjælp af en IP-adresse?

En IP-adresse kan give et fingerpeg, men det er ikke tilstrækkeligt i sig selv til at bevise malware.

Kan malware ankomme via e-mail?

Ja. Ondsindede vedhæftede filer eller links kan være en del af et angreb.

Kan malware overføres via en USB-stick?

Generelt set ja. Om dette skete i denne specifikke sag skal undersøges ved hjælp af yderligere beviser.

Kan en computer hackes, selvom der ikke findes en virus?

Ja. Et angreb kan også forekomme via kompromitterede konti eller legitime systemværktøjer.

Kan malware stjæle adgangskoder?

Visse typer malware kan indsamle loginoplysninger eller andre godkendelsesoplysninger.

Kan malware overføre data?

Visse typer malware kan stjæle filer eller andre oplysninger. Et faktisk databrud skal dog bevises separat.

Kan malware bruge webcammet eller mikrofonen?

Med tilstrækkelig adgang kan dette være teknisk muligt. Muligheden alene beviser dog ikke faktisk adgang.

Kan en trojansk hest detekteres?

Under passende forhold kan filer, udførelsesspor og andre tekniske artefakter bevise tilstedeværelsen af ​​en trojansk hest.

Kan ransomware bevises?

Ja. Udover krypterede filer kan andre tekniske spor af angrebet også undersøges.

Skal malware slettes med det samme?

Hvis der senere er behov for bevismateriale, bør det kontrolleres inden sletning, om retsmedicinsk bevaring er påkrævet.

Skal en inficeret computer slukkes med det samme?

Ikke generelt. At slukke enheden resulterer i tab af flygtige data, og samtidig kan et igangværende angreb forårsage yderligere skade.

Kan en geninstallation ødelægge bevismateriale?

Ja. En ny installation kan ændre eller overskrive adskillige relevante system- og filspor.

Kan malware-forensik fastslå, hvornår infektionen begyndte?

Under gunstige forhold kan tidsperioden indsnævres ved hjælp af forskellige tidsoplysninger.

Kan malware-forensik fastslå, hvad malwaren gjorde?

Afhængigt af de tilgængelige data kan fil-, proces-, system- og netværksaktiviteter rekonstrueres.

Kan malware-forensik afgøre, om data er blevet stjålet?

I nogle tilfælde kan relevante spor rekonstrueres. Den blotte opdagelse af malware beviser dog ikke et databrud.

Kan malware-efterforskning identificere gerningsmanden?

Ikke automatisk. Den tekniske undersøgelse kan afsløre infrastruktur og adgangsveje, men ikke nødvendigvis den fysiske person bag den.

Hvornår skal en computer undersøges professionelt?

En retsmedicinsk undersøgelse kan være nyttig i tilfælde af konkrete indikationer på malware, ukendt fjernadgang, kompromitterede konti, ransomware, økonomisk skade eller senere bevisinteresse.

Malware detekteres gennem samtlige digitale spor.

Et pålideligt bevismateriale for malware består sjældent af blot en enkelt advarselsmeddelelse.

Den afgørende faktor er forbindelsen mellem forskellige tekniske oplysninger: Var der en mistænkelig fil til stede? Blev den rent faktisk udført? Opstod der efterfølgende nye processer, persistensmekanismer eller netværksforbindelser? Falder disse begivenheder sammen i tid?

Kun en fælles evaluering af disse spor muliggør en pålidelig teknisk erklæring.

Grænserne skal også forblive klare. En detekteret fil beviser ikke udførelse. Udført malware beviser ikke automatisk databrud. En netværksforbindelse identificerer ikke automatisk en gerningsmand. Og en negativ virusscanning udelukker ikke alle tidligere sikkerhedshændelser.

Netop denne sondring mellem tekniske fund, mulige konklusioner og udokumenterede antagelser er afgørende for en forståelig retsmedicinsk undersøgelse af malware.

Tilbage til vidensoversigten