MemTracer

MemTracer es una herramienta que ofrece capacidades de análisis de memoria en vivo, permitiendo a los profesionales de la informática forense descubrir e investigar rastros de ataques sigilosos ocultos en la memoria. MemTracer está implementado en lenguaje Python, con el objetivo de detectar DLL (Dynamic-Link Library) nativas de .NET Framework cargadas de forma reflectiva. Esto se logra examinando las siguientes características anormales de las regiones de memoria:

• El estado de los flags de las páginas de memoria en cada región de memoria. Específicamente, el flag MEM_COMMIT que se utiliza para reservar páginas de memoria para uso de memoria virtual.
• El tipo de páginas en la región. El tipo de página MEM_MAPPED indica que las páginas de memoria dentro de la región están mapeadas dentro de la vista de una sección.
• La protección de memoria para la región. La protección PAGE_READWRITE indica que la región de memoria es legible y escribible, lo que ocurre si se utiliza el método Assembly.Load(byte[]) para cargar un módulo en memoria.
• La región de memoria contiene un encabezado PE.

La herramienta comienza escaneando los procesos en ejecución y analizando las características de las regiones de memoria asignadas para detectar síntomas de carga reflectiva de DLL. Las regiones de memoria sospechosas que se identifican como módulos DLL se vuelcan para su posterior análisis e investigación.
Además, la herramienta ofrece las siguientes opciones:

• Volcar el proceso comprometido.
• Exportar un archivo JSON que proporciona información sobre el proceso comprometido, como el nombre del proceso, ID, ruta, tamaño y dirección base.
• Buscar un módulo cargado específico por nombre.

Ejemplo

python.exe memScanner.py [-h] [-r] [-m MODULE]
-h, --help muestra este mensaje de ayuda y sale
-r, --reflectiveScan Busca carga reflectiva de DLL
-m MODULE, --module MODULE Busca un DLL cargado específico

El script necesita privilegios de administrador para inspeccionar todos los procesos.