Очень крутой кейс про то, как имея на руках только снапшот виртуальной машины в момент ее компроментации и зашифированный pcap, автор смог не только вытащить сессионные ключи ssh, но и расшифровать трафик. Правда для этого пришлось проанализировать структуру OpenSSH, разложить все буквально на кусочки, понять в каких блоках памяти ОС хранятся данные, связанные с текущей ssh сессией, и в результате получить сессионный ключ.

Говорит, что было бы круто добавить эту функциональность в Wireshark.

https://research.nccgroup.com/2020/11/11/decrypting-openssh-sessions-for-fun-and-profit/