A malware sample is injecting threads into another process. Where can this be detected in memory forensics?

Đáp án đúng: "Process and thread structures". Khi mã độc tiêm luồng (thread injection) vào tiến trình khác, nó cấp phát vùng nhớ trong tiến trình đích rồi tạo luồng mới chạy ở đó; dấu vết nằm trong cấu trúc tiến trình và luồng của nhân Windows như EPROCESS, ETHREAD và cây mô tả vùng nhớ VAD. Trong pháp chứng bộ nhớ, Volatility dùng các plugin như pslist, threads hay malfind để tìm luồng có địa chỉ bắt đầu nằm ngoài mọi module đã nạp, hoặc vùng nhớ vừa ghi được vừa thực thi được. "File system" sai vì tiêm luồng diễn ra trong RAM và có thể không để lại tệp nào. "Registry dump" giúp tìm cơ chế bám trụ (persistence) như khoá Run, không cho thấy luồng lạ trong tiến trình. "ARP cache" chỉ ánh xạ địa chỉ IP sang địa chỉ MAC trong mạng nội bộ, không liên quan tới luồng.