MalConfScan

Concept MalConfScan is a Volatility plugin extracts configuration data of known malware. Volatility is an open-source memory forensics framework for incident response and malware analysis. This tool searches for malware in memory images and dumps configuration data. In addition, this tool has a...

Vol3xp

Vol3xp, Volatility 3 Explorer Plugins WinObj - Windows Kernel Objects Explorer an improve of https://github.com/kslgroup/WinObj for volatility 3 winobj.py WinObj very similar to WinObj sysinternals Also supports Struct Analyzer and WinObjGui from VolExp. RAMMap - Physical Address Mapping pfn.py...

aether

Aether version : 0.9 stable release Aether is a Windows memory-forensics and threat hunting tool that scans live process memory for malicious pattern, detect injection techniques, implant signatures, reflectively loaded .NET assemblies. it works with a multi-layer confidence model that dramatical...

python-haystack

python-haystack memory forensics |travis| |coverage| |landscape| |pypi| |docs| Quick Start: Quick usage guide in the docs/ folder. Haystack-reverse CLI in the docs/ folder. More documentation Introduction: python-haystack is an heap analysis framework, focused on searching and reversing of C...

MemProcFS

MemProcFS: MemProcFS is an easy and convenient way of viewing physical memory as files in a virtual file system. Easy trivial point and click memory analysis without the need for complicated commandline arguments! Access memory content and artifacts via files in a mounted virtual file system or v...

volatility-gui

Volatility GUI This is a GUI for Volatility forensics tool written in PyQT5 Prerequisites: 1- Installed version of Volatility. 2- Install PyQT5. sudo apt-get install python3-pyqt5 3- Download Volatility GUI. Configuration From the downloaded Volatility GUI, edit config.py file to specify 1- Pytho...

CyberPipe

CyberPipe v5.3 formerly CSIRT-Collect An easy to use PowerShell script to collect memory and disk forensics for DFIR investigations. Functions: 🐏 Capture a memory image with MAGNET DumpIt supports x86, x64, and ARM64 or MAGNET RAM Capture for legacy systems. 💻 Collect triage data using MAGNET...

community

커뮤니티 Volatility 플러그인은 커뮤니티에서 개발하고 유지 관리합니다. 각 작성자의 하위 디렉터리에 있는 README 파일에서 해당 GitHub 프로필 페이지 링크를 확인할 수 있으며, 플러그인의 사용 방법, 의존성, 라이선스 정보, 향후 업데이트를 찾아볼 수 있습니다. 사용법 1. Volatility 저장소를 Git clone 하거나 릴리즈 다운로드 페이지에서 다운로드합니다. 2. 이 저장소를 $PLUGINSPATH로 Git clone 합니다. 3. Volatility를 실행할 때 --plugins=$PLUGINSPA...

SwishDbgExt

SwishDbgExt SwishDbgExt is a Microsoft WinDbg debugging extension that expands the set of available commands by Microsoft WinDbg, but also fixes and improves existing commands. This extension has been developed by Matt Suiche @msuiche – feel free to reach out on [email protected] ask for mor...

columbo

Columbo Columbo는 손상된 데이터셋에서 특정 패턴을 식별하고 단순화하는 데 사용되는 컴퓨터 포렌식 분석 도구입니다. 데이터를 작은 섹션으로 나누고 패턴 인식 및 머신 러닝 모델을 사용하여 손상된 Windows 플랫폼에서 공격자의 행동과 가능한 위치를 제안 형태로 식별합니다. 현재 Columbo는 Windows 플랫폼에서 작동합니다. 종속성 및 고수준 아키텍처 Columbo는 데이터를 추출하기 위해 volatility 3, autorunsc.exe 및 sigcheck.exe에 의존합니다. 따라서 사용자는 이러한 종속...

volatility3

Volatility 3: 휘발성 메모리 추출 프레임워크 Volatility는 휘발성 메모리RAM 샘플에서 디지털 아티팩트를 추출하는 데 가장 널리 사용되는 프레임워크입니다. 추출 기술은 조사 대상 시스템과 완전히 독립적으로 수행되지만 시스템의 런타임 상태에 대한 가시성을 제공합니다. 이 프레임워크는 휘발성 메모리 샘플에서 디지털 아티팩트를 추출하는 데 관련된 기술과 복잡성을 사람들에게 소개하고 이 흥미로운 연구 분야에 대한 추가 작업을 위한 플랫폼을 제공하기 위해 고안되었습니다. 2019년, Volatility...

LiMEaide

LiMEaide v2.0 by Daryl Bennett - kd8bnyatgmaildotcom About LiMEaide is a python application designed to remotely or locally dump RAM of a Linux client and create a volatility profile for later analysis on your local host. I hope that this will simplify Linux digital forensics in a remote...

linux_screenshot_xwindows

Intro 이 volatility 플러그인의 목표는 메모리 덤프에서 모든 열린 X 윈도우의 스크린샷을 추출하는 것입니다. Previous work 아담 브리지Adam Bridge가 구현한 volatility 플러그인 linuxxwindowshttps://github.com/bridgeythegeek/linuxxwindows는 X 서버의 데이터 구조를 탐색하여 X에 등록된 윈도우 객체에서 다양한 메타데이터를 추출합니다. 예를 들어, 각 윈도우에 대해 윈도우 좌표, 너비와 높이, 윈도우 식별자를 나열합니다. Adam의 README...

Memory-analysis

Memory-analysis 메모리에서 악성코드 및 포렌식 분석을 수행하는 도구가 포함되어 있습니다. 플러그인: Dyrescan.py - 메모리에서 Dyre 구성을 파싱합니다. Rat9002.py - 메모리에서 9002 RAT 구성을 파싱합니다. plugx.py - 메모리에서 plugx 구성을 파싱합니다구성 크기: 0x170c도 파싱하도록 수정됨. ghostrat.py - 메모리에서 ghostrat 구성을 파싱합니다. 분석 스크립트: volanalysis.sh - volatility를 사용한 분석을 자동화하는 스크립트...

vol-rs

vol-rs Volatility 3 메모리 포렌식 프레임워크를 Python에서 Rust로 포팅한 것입니다. 동일한 메모리 이미지를 읽고, 동일한 옵션으로 동일한 플러그인을 실행하며, 동일한 출력을 바이트 단위까지 그대로 출력하면서 훨씬 빠릅니다. 라이선스 이 프로젝트는 Volatility 3의 포트이므로 Volatility Software License 1.0에 따른 "Addition"에 해당하며, 따라서 동일한 라이선스로 배포됩니다. 전문은 LICENSE에 있으며...

MemProcFS-Analyzer

MemProcFS-Analyzer MemProcFS-Analyzer.ps1은 MemProcFS 사용을 간소화하고 메모리 분석 워크플로를 최적화하기 위해 사용되는 PowerShell 스크립트입니다. MemProcFS - Ulf Frisk의 메모리 프로세스 파일 시스템Memory Process File System https://github.com/ufrisk/MemProcFS 기능: 빠르고 쉬운 메모리 분석! 메모리 스냅샷원시 물리 메모리 덤프 또는 Microsoft 충돌 덤프을 디스크 이미지처럼 마운트하고 Windows에서 메...

SuperMem

개요 Windows 메모리 이미지를 트리아지 유형triage type에 따라 처리하도록 개발된 Python 스크립트입니다. 요구 사항 Python3 Bulk Extractor Volatility2 with Community Plugins Volatility3 Plaso Yara 사용 방법 빠른 트리아지 python3 winSuperMem.py -f memdump.mem -o output/ -tt 1 전체 트리아지 python3 winSuperMem.py -f memdump.mem -o output/ -tt 2 종합 트리아지...

RedLine-Stealer-C2-Defender-Bypass-Payload-Analysis

1. C2 연결 – IP 198.46.86.63 네트워크 분석 결과 RedLine Stealer가 원격 IP 주소 198.46.86.63에 연결을 설정하는 것으로 나타났습니다. 이 IP는 데이터 유출 및 명령 전달에 사용되는 악성코드의 C2Command & Control 서버일 가능성이 높습니다. 주요 관찰 사항: IP 주소: 198.46.86.63 프로토콜: HTTP/HTTPS일 가능성이 높음일반적인 RedLine 동작 기반. 목적: 탈취한 데이터자격 증명, 쿠키, 암호화폐 지갑의 C2 통신. 중요성: C2 인프라: 이 IP...

volatility

Этот проект заархивирован. См. Volatility 3 для современных расследований: https://github.com/volatilityfoundation/volatility3 ============================================================================ Volatility Framework - Фреймворк для извлечения данных из энергозависимой памяти Volatility...

pe_tree

PE Tree PE Tree는 pefile과 PyQt5를 사용하여 Portable Executable PE 파일을 트리 뷰로 보여주는 Python 모듈입니다. 또한 IDA Pro, Ghidra, Volatility, Rekall, minidump와 함께 사용하여 메모리 내 PE 파일을 보고 덤프하며, 임포트 테이블 재구성을 수행할 수 있습니다. 목차 1. 기능 2. 애플리케이션 요구 사항 기능 설치 Windows Mac/Linux 개발자용 사용법 다크 모드 3. IDAPython 요구 사항 기능 설치 setuptools 사용 ...