malware capture checklist

dumpit
ftk imager
wireshark

1) качаете sysmon https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon
2) качаете https://github.com/SwiftOnSecurity/sysmon-config/
и запускаете с файлом конфигурации согласно readme

usermode dumps https://docs.microsoft.com/en-us/windows/win32/wer/collecting-user-mode-dumps