MemTracer

MemTracer هي أداة تقدم إمكانيات تحليل الذاكرة الحية، مما يسمح لممارسي التحقيقات الرقمية باكتشاف والتحقيق في آثار الهجمات الخفية المخبأة في الذاكرة. تم تنفيذ MemTracer بلغة Python، بهدف اكتشاف مكتبات الارتباط الديناميكي (DLL) الأصلية لـ .NET المحملة بشكل انعكاسي. يتم تحقيق ذلك من خلال البحث عن الخصائص التالية لمناطق الذاكرة غير الطبيعية:

• حالة أعلام صفحات الذاكرة في كل منطقة ذاكرة. تحديداً، العلم MEM_COMMIT المستخدم لحجز صفحات الذاكرة لاستخدام الذاكرة الافتراضية.
• نوع الصفحات في المنطقة. يشير نوع الصفحة MEM_MAPPED إلى أن صفحات الذاكرة داخل المنطقة معينة لعرض قسم ما.
• حماية الذاكرة للمنطقة. حماية PAGE_READWRITE للإشارة إلى أن منطقة الذاكرة قابلة للقراءة والكتابة، وهو ما يحدث إذا تم استخدام طريقة Assembly.Load(byte[]) لتحميل وحدة نمطية في الذاكرة.
• تحتوي منطقة الذاكرة على رأس PE.

تبدأ الأداة بمسح العمليات الجارية، وتحليل خصائص مناطق الذاكرة المخصصة لكشف أعراض تحميل DLL الانعكاسي. يتم تفريغ مناطق الذاكرة المشبوهة التي تم تحديدها كوحدات DLL لمزيد من التحليل والفحص.
علاوة على ذلك، تتميز الأداة بالخيارات التالية:

• تفريغ العملية المخترقة.
• تصدير ملف JSON يوفر معلومات حول العملية المخترقة، مثل اسم العملية، المعرف، المسار، الحجم، والعنوان الأساسي.
• البحث عن وحدة نمطية محملة محددة بالاسم.

مثال

python.exe memScanner.py [-h] [-r] [-m MODULE]
-h, --help يعرض رسالة المساعدة هذه ويخرج
-r, --reflectiveScan البحث عن تحميل DLL انعكاسي
-m MODULE, --module MODULE البحث عن DLL محمل محدد

يحتاج البرنامج النصي إلى صلاحيات المسؤول من أجل فحص جميع العمليات.