Жалко, что многие до Volatility 3 не дохватывают, а там всё проще и прозрачнее стало. ExitTime всегда смотрю, чтобы отделять живые DKOM-процессы от лениво ушедших. По svchost.exe — сначала malfind, чтобы понять, рушат ли память, потом уже dlllist. Ну и про путь запуска не забывать, там обычно сразу понятно, что за фрукт.