LiMEaide

LiMEaide v2.0 作者 Daryl Bennett - kd8bnyatgmaildotcom 概要 LiMEaideは、リモートまたはローカルでLinuxクライアントのRAMをダンプし、後でローカルホストで解析するためのvolatilityプロファイルを作成するPythonアプリケーションです。リモート環境でのLinuxデジタルフォレンジックを簡素化することを目的としています。LiMEaideを使用するには、リモートLinuxクライアントのIPアドレスを指定するだけで、あとはリラックスしてお好きなカフェイン飲料を楽しんでください。...

linux_screenshot_xwindows

Intro The goal of this volatility plugin is to extract a screenshot of all open X windows from a memory dump. Previous work The volatility plugin linuxxwindows realised by Adam Bridge https://github.com/bridgeythegeek/linuxxwindows extracts various metadata from the window objects registered to X...

linux_screenshot_xwindows

はじめに このvolatilityプラグインの目的は、メモリダンプからすべての開いているXウィンドウのスクリーンショットを抽出することです。 関連研究 Adam Bridge https://github.com/bridgeythegeek/linuxxwindows が作成したvolatilityプラグイン linuxxwindows は、Xサーバのデータ構造を辿って特定される、Xに登録されているウィンドウオブジェクトから様々なメタデータを抽出します。例えば、各ウィンドウについて、ウィンドウの座標、幅と高さの寸法、ウィンドウ識別子をリストします。Adamの README...

avml

AVML Acquire Volatile Memory for Linux Summary A portable volatile memory acquisition tool for Linux. AVML is an X8664 userland volatile memory acquisition tool written in Rust, intended to be deployed as a static binary. AVML can be used to acquire memory without knowing the target OS distributi...

volatility3

Volatility 3: 揮発性メモリ抽出フレームワーク Volatilityは、揮発性メモリ（RAM）サンプルからデジタルアーティファクトを抽出するための、世界で最も広く使用されているフレームワークです。抽出技術は調査対象のシステムから完全に独立して実行されますが、システムの実行時状態への可視性を提供します。このフレームワークは、揮発性メモリサンプルからデジタルアーティファクトを抽出する際の技術と複雑さを人々に紹介し、この刺激的な研究分野へのさらなる取り組みのためのプラットフォームを提供することを目的としています。 2019年、Volatility...

VolExp

VolExp Volatility エクスプローラ このプログラムは、メモリダンプへのアクセスをユーザーに提供します。また、Volatility Framework https://github.com/volatilityfoundation/volatility のプラグインとしても機能します。 このプログラムは Process Explorer/Hacker と同様に機能しますが、さらにメモリダンプへのアクセス（または Memtriage を使用したコンピュータ上のリアルタイムメモリへのアクセス）をユーザーに提供します。 このプログラムは Windows、Linux、MacOS...

autotimeliner

AutoTimeliner Automagically extract forensic timeline from volatile memory dumps. AutoTimeliner runs multiple Volatility3 plugins against Windows, Linux, and macOS memory images, then merges their output into a single, sorted CSV timeline: Generic Timeline Plugin Plugin| What it captures ---|---...

columbo

Columbo Columbo is a computer forensic analysis tool used to simplify and identify specific patterns in compromised datasets. It breaks down data to small sections and uses pattern recognition and machine learning models to identify adversaries behaviour and their possible locations in compromise...

power-tracks-research

Power Tracks 研究 "Power Tracks"、"Stock Galaxy"、"Warped Prism" のマーケットメカニクスに関する包括的な研究リポジトリ。このコードベースには、現代のマーケットマイクロストラクチャにおける体系的な異常を発見・マッピングするために使用されたツール、パイプライン、検証スイートが含まれています。 構成 研究は3つの主要な柱に分かれています。 I. シグナル: Power Tracks & ステガノグラフィ 異常な「ハートビート」と隠されたデータチャンネルを検出する。 フェーズ57 : 検出スタック - Power Tracks...

VolWeb

はじめに VolWebは、Volatility 3フレームワークの力を活用したデジタルフォレンジックメモリ分析プラットフォームです。 調査やインシデント対応を支援するために設計されています。 🧬 目的 VolWebの目的は、インシデント対応担当者やデジタルフォレンジック調査者に集中管理型で視覚的かつ拡張されたWebアプリケーションを提供することで、メモリ収集とフォレンジック分析の効率を高めることです。 調査担当者がLinuxまたはWindowsシステム（Macは近日対応予定）からメモリイメージを取得すると、証拠をVolWebにアップロードできます。アップロードにより、Volatility...

MalConfScan

コンセプト MalConfScan は、既知のマルウェアの設定データを抽出する Volatility プラグインです。Volatility は、インシデント対応やマルウェア解析のためのオープンソースメモリフォレンジックフレームワークです。このツールはメモリイメージ内のマルウェアを検索し、設定データをダンプします。さらに、悪意のあるコードが参照する文字列を一覧表示する機能も備えています。 対応マルウェアファミリ MalConfScan は以下のマルウェア設定データ、デコードされた文字列、または DGA ドメインをダンプできます。 Ursnif Emotet Smoke Loader...

ir-rescue

ir-rescue ir-rescue は、32ビットおよび64ビットの Windows システムから多種多様な フォレンジックデータ を収集する ir-rescue-win と、Unix システムから収集する ir-rescue-nix の2つの姉妹スクリプトで構成されています。これらのスクリプトは、揮発性の順序と実行によって変更されるアーティファクト（例：Windows のプリフェッチファイル）を尊重し、分析および調査プロセスのさまざまな段階での インシデントレスポンス での使用を目的としています。それぞれ以下に説明します。 ir-rescue-win は完全に Batch...

Memory-analysis

Memory-analysis Contains tools to perform malware and forensic analysis in Memory. Plugins: Dyrescan.py - parses Dyreconfig in memory. Rat9002.py - parses 9002 rat config in memory. plugx.py - parses plugx config in memory modified to also parse config size: 0x170c. ghostrat.py - parses ghostrat...

Vol3xp

Vol3xp、Volatility 3 エクスプローラ プラグイン WinObj - Windowsカーネルオブジェクトエクスプローラ、https://github.com/kslgroup/WinObj の改良版 volatility 3用、winobj.py WinObj（WinObj sysinternals と非常に類似）は、Struct Analyzer と VolExp の WinObjGui もサポートします。 RAMMap - 物理アドレスマッピング pfn.py RAMMap（Rammap SysInternals...

lmg

Linux Memory Grabber 用于转储 Linux 内存并创建 VolatilityTM 配置文件的脚本。 Hal Pomeranz [email protected], 2020-02-01 致谢 “如果说我看得比别人更远，那是因为我站在巨人的肩膀上。” —— 艾萨克·牛顿 很多人应该为这个简单小工具的实现而获得感谢： —— 微软的优秀团队，感谢他们提供了 AVML —— Joe Sylve，感谢他在 LiME 上的工作 —— 整个 VolatilityTM 开发团队的持续付出。 我尤其要感谢 Andrew Case，他在我开发工具的过程中回答了许多烦人的问题。 ...

lmg

Linux Memory Grabber A script for dumping Linux memory and creating VolatilityTM profiles. Hal Pomeranz [email protected], 2020-02-01 THANKS! "If I have seen further it is by standing on the shoulders of giants." Issac Newton There are a lot of people who deserve thanks for making this simpl...

memhunter

Memhunter メモリ常駐型マルウェアの大規模自動ハンティング このプロジェクトは開発中です。機能変更やバイナリリリースが今後数週間以内に行われる予定です。 概要...

volatility-gui

Volatility GUI これは、PyQT5で書かれたVolatilityフォレンジックツールのGUIです。 前提条件: 1- インストール済みのVolatility。 2- PyQT5のインストール。 sudo apt-get install python3-pyqt5 3- Volatility GUIのダウンロード。 設定 ダウンロードしたVolatility GUIから、config.pyファイルを編集して、1- pythonbinにPython 2のバイナリ名またはPython 2の絶対パスを指定します。 2-...

volatility-plugins

https://www.countercept.com/blog/hunting-for-gargoyle-memory-scanning-evasion/...

Syd

Syd - オフラインペネトレーションテストアシスタント Sydは、エアギャップ環境に対応したペネトレーションテストアシスタントで、ローカルLLMと検索拡張生成（RAG）を使用してスキャン出力を分析します。インターネット接続やAPIキーを必要とせず、ラップトップ上で完全に動作します。 概要 Sydは技術的なスキャン出力（Nmap、BloodHound、Volatility）を解析し、平易な英語で質問に回答します。数百ページに及ぶ結果を手動で確認する代わりに、具体的な質問を投げかけ、実際のスキャンデータに基づいたエビデンスベースの回答を得ることができます。 対応ツール:...