adem-hosni/mappedimagesdetectorLeichter nativer Windows-Speicher-Scanner für AV/EDR-Plattformen, der verdächtige gemappte Images und manuelle DLL-Injection-Techniken per IAT-Thunk erkennt.
Nativer Windows-Speicherscanner zur Erkennung bösartiger DLL-Injektionen und In-Memory-Malware
MappedImagesDetector ist ein systemnahes C++20-Windows-Tool zur Erkennung bösartiger DLL-Injektionstechniken, die von moderner Malware verwendet werden, darunter manuell gemappte DLLs, gelöschte PE-Header und verdächtige speichergemappte Images, die von herkömmlichen Antivirenlösungen oft übersehen werden.
Dieses Projekt konzentriert sich auf speicherbasierte Erkennung, nicht auf Datenträgersignaturen. Es ist entwickelt für Antiviren-Engines, EDR-Systeme und Malware-Forschung, bei denen die Sichtbarkeit in den Adressraum eines Prozesses entscheidend ist.
Moderne Malware agiert zunehmend vollständig im Speicher:
LoadLibrary gemappt wurdenDatenträgerbasierte Antivirensoftware sieht nichts. MappedImagesDetector untersucht den Prozessspeicher direkt und kennzeichnet diese Anomalien.
Keine Tricks. Keine Signaturdatenbanken. Nur Speicherinspektion.
Dies ist kein offensives Framework und kein Loader.
Der Scanner wendet mehrere defensive Heuristiken an:
Jeder Fund kann bewertet und von übergeordneter Logik (EDR, SIEM, Automatisierung) verarbeitet werden.
AnomaliesDetector/ # Kernlogik des Scanners
TestModule/ # Test-DLL für lokale Validierung
MappedImagesDetector.sln # Visual Studio-Projektmappe
Öffnen Sie die Projektmappe in Visual Studio und erstellen Sie x64 / Release, oder verwenden Sie MSBuild:
msbuild MappedImagesDetector.sln /p:Configuration=Release /p:Platform=x64
Die Binärdateien werden in den bin-Verzeichnissen des Projekts erstellt.
TestModule nur für Entwicklung und ValidierungDie Protokollierung erfolgt über den integrierten Logger und kann umgeleitet oder erweitert werden.
Speichererkennung ist leistungsstark, aber verrauscht. Dieses Projekt ist als Folgendes gedacht:
Beiträge, die sich auf defensive Erkennungsqualität konzentrieren, sind willkommen:
Pull-Requests, die offensive oder loaderartige Funktionalität hinzufügen, werden abgelehnt.
MappedImagesDetector existiert aus einem Grund:
Um bösartigen Code aufzudecken, der sich im Speicher versteckt und die traditionelle Antiviren-Erkennung umgeht.
Wenn Sie Sicherheitssoftware entwickeln und sich immer noch auf reine Datenträgerindikatoren verlassen, sind Sie bereits im Rückstand.