Sobre o processo de análise e extração de dados em memória...

Nos Sistemas Operacionais que implementam o gerenciamento de memória utilizando paginação, o arquivo de dump terá exatamente o dobro do tamanho do espaço de endereçamento de memória RAM.

A tarefa de recuperação de senhas a partir dos hashs armazenados em memória pode ser dividida em três etapas: a obtenção do dump de memória; a extração dos hashs do dump e a obsfuscação dos hashs.

Um dump de memória de RAM, na maioria das vezes, é feito com o uso de ferramentas específicas para essa atividade. Tais ferramentas realizam uma leitura das páginas virtuais copiando-as para um arquivo de dump.

No Windows XP e Vista, a opção padrão de geração de dump é em formato reduzido, na qual não se copia toda a memória, mas apenas a parte necessária à identificação e caracterização da falha ocorrida.

As perícias em memória volátil não se subordinam aos aspectos da cadeia de custódia, e cuidados essenciais devem ser observados nos procedimentos de coleta, processamento e produção de resultados devido ao fato do funcionamento dinâmico da RAM.