Überblick

Ein Python-Skript zur Verarbeitung von Windows-Speicherabbildern basierend auf dem Triage-Typ.

Anforderungen

• Python3
• Bulk Extractor
• Volatility2 mit Community-Plugins
• Volatility3
• Plaso
• Yara

Verwendung

Schnelle Triage

python3 winSuperMem.py -f memdump.mem -o output/ -tt 1

Vollständige Triage

python3 winSuperMem.py -f memdump.mem -o output/ -tt 2

Umfassende Triage

python3 winSuperMem.py -f memdump.mem -o output/ -tt 3

Installation

1. Python 3 installieren
2. Python 2 installieren
3. pip3 install -r requirements.txt
4. Volatility 3 Framework installieren
5. Volatility 2 Framework installieren
6. Volatility 2 Community-Plugins herunterladen
7. Bulk Extractor installieren
8. Plaso installieren
9. Yara installieren
10. Strings installieren
11. EVTxtract installieren

So lesen Sie die Ausgabe

• Verzeichnisstruktur der Ausgabe der umfassenden Triage:
  • BEoutputdir – Bulk-Extractor-Ausgabe
  • DumpedDllsOutput – In Prozesse geladene und gespeicherte DLLs
  • DumpedFilesOutput – Im Speicher gespeicherte Dateien
  • DumpedModules – Gespeicherte geladene Treiber
  • DumpedProcessOutput – Gespeicherte laufende Prozesse
  • DumpedRegistry – Gespeicherte geladene Registry-Hives
  • EVTxtract – Mit EVTxtract extrahierte Daten
  • IOCs.csv – Im Ausgabedatensatz identifizierte gesammelte IPs
  • Logging.log – Protokollierung für das Skript
  • Plaso – Plaso-Master-Timeline
  • Strings – Unicode-, ASCII- und Big-Endian-Strings-Ausgabe
  • Volatility2 – Ausgabe der Volatility2-Plugins
  • Volatility3 – Ausgabe der Volatility3-Plugins
  • Yara – Yara-Treffer

Fehlerbehebung

Es gibt eine Reihe bekannter Fehler, die in diesem Abschnitt beschrieben werden.

• Das Speichern von Dateien funktioniert möglicherweise nicht bei Windows-Abbildern älter als Windows 8. Der vom Volatility3-filescan-Plugin gelieferte Offset ist manchmal physisch und nicht virtuell. Es gibt auch keinen Deskriptor, der angibt, welcher zurückgegeben wird. Das aktuelle Skript erwartet nur virtuelle Adressen. Sie können dies beheben, indem Sie die dumpfiles-Funktion von --virtaddr auf --physaddr ändern.