Esa compilación de desarrollo enlaza libc dinámicamente; para reproducir localmente el binario totalmente estático del release, añade el objetivo musl: `rustup target add x86_64-unknown-linux-musl && cargo build --release --target x86_64-unknown-linux-musl`.```bash
# Inspect any dump — format, ranges, embedded metadata (no symbols needed)
mem4n6 info win10.mem

# Windows process tree. The ISF is resolved from the kernel's own PDB GUID;
# raw .mem dumps take the page-table base via --cr3 (crash dumps carry their own).
mem4n6 ps --symbols ntkrnlmp.json --cr3 0x1ad000 --tree win10.mem

# Linux process tree from a LiME capture
mem4n6 ps --symbols linux.json --tree memdump.lime

# Air-gapped lab? Never touch the network for symbols:
mem4n6 ps --symbols ntkrnlmp.json --offline win10.mem

---

## Referencia rápida```bash
# Show dump format and physical memory ranges
mem4n6 info memdump.dmp

# Process tree with threads and DLLs
mem4n6 ps --symbols ntkrnlmp.json --tree --threads --dlls memdump.dmp

# Network connections (json / csv / table)
mem4n6 net --symbols ntkrnlmp.json --output json memdump.dmp

# Kernel integrity checks (SSDT, IDT, callbacks, hooks)
mem4n6 check --symbols ntkrnlmp.json --ssdt --callbacks memdump.dmp

# Linux syscall hook and malfind scan
mem4n6 check --symbols linux.json --hooks --malfind memdump.lime

# String extraction with YARA rules
mem4n6 strings --rules ./yara-rules/ --min-length 8 memdump.dmp

# Hash lookup against NSRL (known-good) and MalwareBazaar (known-bad)
mem4n6 hash --lookup memdump.dmp

# Extract framebuffer screenshot from live memory dump
mem4n6 framebuf --symbols linux.json --png screen.png memdump.dmp

# Recover files from tmpfs mounts + detect memfd fileless ELF execution
mem4n6 check --symbols linux.json --tmpfs-recovery --memfd memdump.lime

# Detect EDR bypass: direct syscalls, ETW patching, AMSI/DSE bypass
mem4n6 check --symbols ntkrnlmp.json --direct-syscalls --etw-patch --amsi-bypass memdump.dmp

# Novel kernel interface abuse: io_uring, netfilter hooks, perf_event
mem4n6 check --symbols linux.json --io-uring --netfilter --perf-event memdump.lime

# Cross-artifact ATT&CK correlation across all walkers
mem4n6 correlate --symbols ntkrnlmp.json --output json memdump.dmp

Please provide the markdown content to translate.```
[HOOK]  sys_call_table[59]  execve  → 0xffffffffc0a2f3d0  (outside kernel text)
[HOOK]  ftrace_ops[0]  target: vfs_read  → 0xffffffffc0a2f410  (module: libymv_ko)
[HOOK]  security_inode_getattr  → 0xffffffffc0a2f450  (LSM hook patched)

Please provide the Markdown content to translate.```
[ROOTKIT] /tmp/.x/libhider.so  signals=[elf.hooks.process_hiding, elf.hooks.pam_credential_theft]
  exports: readdir64, getdents64, pam_get_item, pam_authenticate
  MITRE: T1014 (Rootkit), T1556.003 (Modify Authentication Process)
  loaded in 100% of processes (23/23)

[ROOTKIT] /tmp/.x/libhider.so  .rodata match: "UID:%d:" (Father PAM hook format string, weight=90)

Please provide the Markdown content to translate.```
[DPAPI] GUID={A1B2C3D4-...}  blob_len=680  source=lsass.exe
[COOKIE] msedge.exe  domain=.github.com  name=user_session  value=secretvalue...
[COOKIE] chrome.exe  (v10-encrypted)  — key material required for decryption

Extrae el framebuffer de un volcado de memoria en vivo o de hibernación y lo escribe como PNG. Funciona tanto en Linux (walker de `drm_framebuffer` de DRM/KMS) como en Windows (framebuffer de sesión mediante escaneo del pool de `win32k`). Útil para capturar el estado de la pantalla en el momento de la adquisición sin iniciar la imagen.

---

## Recupera archivos que nunca tocaron el disco

Los atacantes que usan tmpfs o `memfd_create(2)` no dejan artefactos en el sistema de archivos — el binario existe solo en la RAM.```bash
# Recover inodes and file content from Linux tmpfs/ramfs mounts
mem4n6 check --symbols linux.json --tmpfs-recovery memdump.lime

# Detect ELF binaries running from anonymous memfd file descriptors
mem4n6 check --symbols linux.json --memfd memdump.lime

La recuperación de tmpfs recorre la tabla `vfsmount` del kernel y reconstruye el contenido de los inodos a partir de las páginas de la caché de páginas. La detección de memfd recorre la tabla de descriptores de archivos abiertos de cada proceso y marca los inodos anónimos creados con `memfd_create(2)`.

---

## Detectar la evasión de EDR y la supresión de registros

Las herramientas ofensivas modernas parchean la instrumentación de seguridad de Windows en memoria para evadir la detección sin tocar el disco.```bash
# Direct syscalls — Syswhispers/Hell's Gate bypass Win32 API entirely
mem4n6 check --symbols ntkrnlmp.json --direct-syscalls memdump.dmp

# ETW patching — log suppression via ret/xor at ETW write functions
mem4n6 check --symbols ntkrnlmp.json --etw-patch memdump.dmp

# AMSI bypass — script-scanning suppression via amsi.dll patch
mem4n6 check --symbols ntkrnlmp.json --amsi-bypass memdump.dmp

# DSE bypass — Driver Signature Enforcement disabled for unsigned drivers
mem4n6 check --symbols ntkrnlmp.json --dse-bypass memdump.dmp

---

## Abuso novedoso de la interfaz del kernel de Linux

Más allá de los hooks clásicos de syscall, los rootkits modernos abusan de subsistemas más nuevos del kernel. `memory-forensic` cubre los tres:```bash
mem4n6 check --symbols linux.json --io-uring --netfilter --perf-event memdump.lime

---

## Indicadores de escape de contenedores```bash
mem4n6 check --symbols linux.json --container-escape memdump.lime

Recorre los namespaces de usuario, mount, PID, net y cgroup de cada proceso y marca los procesos que deberían estar aislados pero comparten namespaces de nivel de host — la firma estructural de una escape de contenedor independientemente de cómo se haya logrado.

---

## Correlación ATT&CK entre artefactos

`memf-correlate` combina los hallazgos de todos los walkers en una línea temporal, puntúa las anomalías por severidad y asigna cada una a técnicas de MITRE ATT&CK sin ejecutar los walkers uno a la vez:```bash
mem4n6 correlate --symbols ntkrnlmp.json --output json memdump.dmp > findings.json

Process, network, module, hook, and credential walker results are correlated by process and time before scoring — producing ATT&CK-tagged findings rather than per-walker output that an analyst must join manually.

---

## Formatos de memoria compatibles

| Formato | Fuente | Auto-detectado |
|---|---|---|
| LiME (`.lime`) | Módulo del kernel de Linux | Sí |
| AVML v2 | Azure AVML | Sí |
| ELF Core | QEMU, `gcore` | Sí |
| Windows Crash Dump (`.dmp`) | DumpIt, WinDbg | Sí |
| Hiberfil.sys | Hibernación / inicio rápido de Windows | Sí |
| VMware State (`.vmss`, `.vmsn`) | VMware Workstation / ESXi | Sí |
| kdump / diskdump | `makedumpfile` | Sí |
| Raw / flat | Cualquier respaldo | Sí |

El formato se detecta a partir de las cabeceras de los archivos — no se requieren indicadores.

---

## En qué se diferencia

Las alternativas más cercanas son **Volatility 3** (Python, arquitectura de plugins), **MemProcFS** (C con bindings de Rust, principalmente Windows), **Rekall** (Python, sin mantenimiento) y **MemNixFS** (C++, volcados de Linux montados como sistema de archivos). La comparación a continuación refleja el núcleo oficial de cada herramienta y su repositorio de plugins conocido. MemNixFS se dirige a imágenes *Linux* con una experiencia de usuario de sistema de archivos, por lo que comparte la recuperación de archivos de caché de páginas de mem4n6, pero es `n/a` en las filas de auto-perfilado de Windows y evasión de EDR.

### Paridad — capacidades compartidas con herramientas maduras

| | memory-forensic | Volatility 3 | MemProcFS | MemNixFS | Rekall |
|--|:-:|:-:|:-:|:-:|:-:|
| Walkers de kernel Linux + Windows | ✅ | ✅ | Windows primero | Solo Linux | ✅ |
| Enumeración de procesos, módulos y red | ✅ | ✅ | ✅ | ✅ | ✅ |
| Detección de memoria inyectada | ✅ | ✅ | ✅ | ✅ | ✅ |
| Compatible con paquetes de símbolos ISF | ✅ | ✅ | — | ✅ | — |
| Se ejecuta en Linux / macOS | ✅ | ✅ | parcial | Linux + Win | ✅ |
| Con mantenimiento activo | ✅ | ✅ | ✅ | ✅ | — |
| Gratuito y de código abierto | ✅ | ✅ | ✅ | sin licencia | ✅ |

### Capacidades ausentes en las distribuciones oficiales de otras herramientas

| | memory-forensic | Volatility 3 | MemProcFS | MemNixFS | Rekall |
|--|:-:|:-:|:-:|:-:|:-:|
| Binario estático único — sin Python, sin runtime | ✅ | — | — | parcial | — |
| API de biblioteca para integración en herramientas Rust | ✅ | — | ✅ | — | — |
| Identificación de rootkits por comportamiento ELF | ✅ | — | — | — | — |
| Recuperación de archivos tmpfs / ramfs | ✅ | — | — | ✅ | — |
| Detección de ejecución fileless memfd | ✅ | — | — | — | — |
| Detección de syscalls directas / evasión de EDR | ✅ | plugin? | — | n/a | — |
| Detección de evasión de ETW / AMSI / DSE | ✅ | plugin? | — | n/a | — |
| Abuso de io_uring / netfilter / perf\_event | ✅ | — | — | — | — |
| Indicadores de escape de contenedores | ✅ | — | — | — | — |
| Extracción de claves DPAPI + cookies de Chrome | ✅ | plugin? | — | n/a | — |
| Evidencia de acceso a carpetas Shellbags desde la memoria ‡ | ✅ | — | — | n/a | — |
| Captura de pantalla de framebuffer | ✅ | plugin? | — | — | — |
| Correlación de ATT&CK entre artefactos | ✅ | — | — | — | — |
| Salida segura — RFC 4180, protección contra inyección de fórmulas, bidi-strip | ✅ | — | — | — | — |

> **`plugin?`** — La capacidad puede existir en el ecosistema de la comunidad de Volatility 3, pero está ausente del núcleo oficial y del repositorio de plugins en el momento de escribir esto. Verifícalo antes de concluir.
>
> **‡ Shellbags desde memoria** — Volatility 2 recuperaba shellbags de la RAM (el plugin `shellbags` de la comunidad, Kovar y luego Lo); Volatility 3 nunca lo reincorporó, por lo que la recuperación de shellbags solo desde memoria retrocedió en la transición vol2→vol3. mem4n6 recorre `Shell\BagMRU` directamente en el hive `UsrClass.dat`/`NTUSER.DAT` en memoria, restaurando la capacidad de la era vol2 para el caso de solo RAM (sin adquirir disco), o para corroborar el hive en disco. El camino habitual cuando el disco *sí* está disponible es montar la imagen y ejecutar SBECmd / RegRipper sobre el archivo de hive; el recorrido de memoria colapsa los dos pasos de volcar el hive y luego analizarlo en uno solo. La validación es **nivel 2**: la verdad fundamental se deriva con `regipy` sobre el hive extraído de `citadeldc01.mem`; no existe una clave de respuestas de shellbags de terceros publicada para el caso Szechuan, por lo que este es un oráculo autogenerado (herramienta real + imagen real), no una clave de terceros.

---

## Confía, pero verifica

Una herramienta que analiza imágenes de memoria **no confiables y controlables por el atacante** tiene que negarse a mentir y negarse a fallar. mem4n6 está construida para ese estándar:

- **Sin pánico gracias al lint en entradas hostiles.** Las rutas de análisis deniegan `unwrap`/`expect`/`panic!` e indexación sin comprobar (`clippy::unwrap_used`/`expect_used` = deny); cada lectura de longitud, desplazamiento y puntero se comprueba contra los límites y degrada con elegancia: una lista de procesos corrupta devuelve lo que encontró, no aborta. (Las APIs de construcción generan pánico ante un error de programación — un campo requerido faltante — por diseño, nunca ante el contenido del volcado).
- **Seguro en memoria por defecto.** `unsafe_code = "deny"` en todo el workspace; el único `unsafe` son los mapeos de archivos limitados de `memmap2` (el volcado, el archivo de página y la base de datos de hashes conocidos), cada uno justificado individualmente; de ahí la insignia *acotado (solo mmap)* en lugar de *prohibido*.
- **Validada contra un oráculo independiente, no solo contra nuestros propios fixtures.** El walker de procesos de Windows se compara con Volatility 3 en una imagen real de Windows 10 de 2 GB: acuerdo exacto en todos los procesos compartidos, cero falsos positivos ([`docs/validation.md`](https://github.com/securityronin/memory-forensic/blob/HEAD/docs/validation.md)).
- **Salida segura.** Cada canal (tabla/CSV/JSON) aplica comillas RFC 4180, una protección contra la inyección de fórmulas en hojas de cálculo y la eliminación de caracteres bidi/de control antes de que las cadenas controladas por el atacante lleguen a tu terminal o pipeline.

---

## Uso de la biblioteca```rust
use mem4n6_format::open;
use mem4n6_core::vas::{TranslationMode, VirtualAddressSpace};
use mem4n6_core::object_reader::ObjectReader;
use mem4n6_symbols::isf::IsfResolver;

// Open any supported format — detected from file headers
let dump = open("memdump.dmp")?;
let symbols = IsfResolver::from_file("ntkrnlmp.json")?;

// Walk the x86_64 4-level page table
let vas = VirtualAddressSpace::new(dump.clone(), TranslationMode::X64, cr3);
let reader = ObjectReader::new(vas, Box::new(symbols));

// Walk EPROCESS list
for proc in reader.eprocess_list()? {
    println!("{} (PID {})", proc.image_name()?, proc.pid()?);
}