moneta

/ \ ____ ____ / |_
/ \ / \ / _ \ / _/ __ \ _ \
/ Y ( <> ) | \ /| | / __ _ _|__ /_/|| /___ >__| (____ / / / / /

Moneta v1.0 | Forrest Orr | 2020

مطلوب

-m {|region|referenced|ioc} -p {|PID}

اختياري

-v {detail|debug|surface} -d --option {from-base|statistics} --filter {unsigned-module|clr-prvx|clr-heap|metadata-modules} --address <عنوان الذاكرة> --region-size <حجم منطقة الذاكرة>

-m الذاكرة المراد تحديدها وتطبيق إعدادات الماسح عليها.

                *                   تحديد جميع مناطق الذاكرة الملتزمة.
                ioc                 تحديد المناطق المرتبطة بالشكوك فقط.
                region              تحديد المنطقة (المناطق) التي تتداخل مع المنطقة المقدمة
                                    عبر وسيطتي --address و --region-size فقط.
                referenced          تحديد المناطق المشار إليها داخل المنطقة (المناطق)
                                    المرتبطة بوسيطتي --address و --region-size المقدمتين فقط.

-p العملية (العمليات) المراد فحصها. في حال استخدام *، سيتم تعداد جميع العمليات القابلة للوصول وفحصها. --option إجراءات إضافية يمكن تطبيقها اختيارياً على الذاكرة المحددة من الفحص.

                from-base           جميع المناطق الفرعية المرتبطة بقواعد تخصيص جميع
                الذاكرة المحددة سيتم تحديدها أيضاً.
                statistics          حساب إحصائيات الأذونات على الذاكرة المحددة بعد
                اكتمال الفحص.

-d تفريغ جميع الذاكرة المحددة إلى نظام الملفات المحلي بعد اكتمال فحص كل عملية. --address عنوان ذاكرة بصيغة 0x* لاستخدامه مع نوعي التحديد "region" أو "referenced". --region-size تحديد حجم منطقة الوسيطة "--address" اختيارياً. الافتراضي هو حجم منطقة 0. -v مستوى الإفصاح لطباعة المعلومات المتعلقة بالذاكرة المحددة. الافتراضي هو "surface". --filter المرشحات التي سيتم تطبيقها عند استبعاد الشكوك المرتبطة بالذاكرة المحددة.

                *                   تطبيق جميع المرشحات. يتم عرض البرامج الضارة فقط والشكوك غير المعروفة.
                unsigned-module     مناطق ذاكرة الصورة المرتبطة بملفات PE غير الموقعة.
                metadata-modules    مناطق ذاكرة الصورة الناتجة عن ملفات PE الوصفية لنظام Windows
                                    الموقعة على القرص.
                clr-heap            أكوام التنفيذ الأصلية التي تم إنشاؤها أثناء تهيئة CLR.
                clr-prvx            الأكوام المدارة المرتبطة بأكوام CLR النشطة ورمز JIT.
                wow64-init          IOCs الناتجة عن تهيئة عملية Wow64 مثل تعديل أقسام
                                    كود مكتبات النظام
									

أمثلة

تعداد سجل مفصل لجميع الذاكرة الملتزمة في جميع العمليات على نظام التشغيل:

Moneta64.exe -m * -p * -v detail

تعداد معلومات سطحية متعلقة بالذاكرة المشبوهة في عملية محددة:

Moneta64.exe -m ioc -p 1234

تعداد معلومات سطحية متعلقة بالذاكرة المشبوهة في عملية محددة من قاعدة تخصيصها:

Moneta64.exe -m ioc -p 1234 --option from-base

تفريغ منطقة ذاكرة محددة حسب العنوان داخل عملية محددة من قاعدة تخصيصها:

Moneta64.exe -m region -p 1234 --option from-base --address 0x0000000077DD0000 -d

تعداد معلومات سطحية متعلقة بالذاكرة المشبوهة في جميع العمليات وعرض إحصائيات الذاكرة على IOCs وأنواع المناطق عند اكتمال الفحص:

Moneta64.exe -m ioc -p * --option statistics

تعداد معلومات سطحية متعلقة بالذاكرة المشبوهة في جميع العمليات مع استبعاد IOCs الناتجة عن الوحدات غير الموقعة والوحدات الوصفية:

Moneta64.exe -m ioc -p * --filter unsigned-modules metadata-modules