is it possible to extract the encryption key remotely via malware out off the ram memory, and if possible, how come that the law enforcement does not use this method instead of a cold boot attack?
Certo che è possibile. Il malware richiede di raggiungere l'accesso con privilegi elevati per accedere alla memoria del driver di crittografia; entrambe le cose possono essere rese difficili, ma non sono affatto impossibili.
Perché le forze dell'ordine non usano questo metodo (che in realtà non richiede il furto di alcuna chiave: di solito quando l'FDE è sbloccato, il disco è accessibile da qualsiasi processo, incluso il malware, quindi il problema è come estrarre il file rubato informazioni): chi dice di no? Dove vivo, abbiamo avuto un bel scandalo non molto tempo fa, per cui una società di software ha subito un attacco che ha funzionato per vari governi. Hanno sviluppato quello che era, a tutti gli effetti, malware mirato.
Gli attacchi di avvio a freddo e il malware non si escludono a vicenda: potresti averli entrambi a disposizione e impiegare ciò che meglio si adatta al caso specifico a portata di mano.
Da un punto di vista legislativo credo che gli attacchi di avvio a freddo siano considerati equivalenti a un attacco, mentre l'installazione di malware è più un'area grigia: è in qualche modo equivalente a un'imboscata o punto di controllo, ma comporta anche la modifica del bersaglio sistema, che in alcuni casi può rendere assolutamente inutilizzabili tutte le prove raccolte - l'equivalente di forzare l'apertura della serratura di un sospetto. Sì, le forze dell'ordine possono entrare in qualsiasi momento, ma così potrebbero teoricamente chiunque altro, rendendo finalmente ogni prova discutibile.
Ad esempio, se il malware consentiva il controllo remoto del sistema di destinazione, è necessario prestare attenzione per garantire che nessun accesso non autorizzato al malware sia quindi possibile da parte di parti sconosciute, allo scopo di seminare la prova che il malware potrebbe rivelarsi .
Infine, il malware potrebbe essere rilevato e persino sovvertito, rendendolo meno desiderabile dal punto di vista delle forze dell'ordine.