Por que vocês respondem suspendendo programas?

Os criminosos aprenderam que operar apenas em memória, utilizando técnicas como a injeção de processos, oferece uma variedade de vantagens: Assumir o controle da identidade de um usuário para esse programa. Evasão de verificações de gerenciamento de identidade. Evasão de regras de firewall baseadas em aplicativos e listas de permissões. Evasão de ferramentas de prevenção de perda de dados em servidores. Eliminação de quase todas as evidências em memória quando o processo é encerrado. Eliminação de quase todas as evidências em memória quando o computador é reiniciado. Ao suspender os programas sob controle do invasor, as evidências ficam congeladas no tempo. O invasor também fica congelado. As evidências ficam disponíveis para ferramentas forenses como parte de um processo de investigação. Se a organização não estiver equipada para realizar a perícia forense no momento, uma simples reinicialização por parte do invasor fará com que o sistema retorne a um estado saudável. Forçar o encerramento do programa suspenso e reiniciá-lo geralmente também produz o efeito desejado.