mnemosyne

Mnemosyne est un outil générique de collecte de mémoire (memory scraping) basé sur Windows.

Il analyse l'espace mémoire d'un processus à la recherche d'une chaîne de caractères ou d'une expression régulière (unicode et ascii) ; si une correspondance est trouvée, il l'affiche sur la sortie standard (stdout), dans un fichier ou via un socket vers un écouteur distant.

Cet utilitaire est utile pour l'extraction de mémoire d'un processus, en tant que preuve de concept (POC) de post-exploitation, mécanisme d'analyse dynamique des logiciels malveillants, outil d'instrumentation à utiliser lors de campagnes de fuzzing, et pour de nombreuses autres applications.

L'outil fonctionne en boucle infinie sur un processus (ou sur tous les processus en cours d'exécution), car la mémoire est dynamique et sujette à des changements rapides ; cette itération peut donc s'avérer plus bénéfique pour extraire des éléments d'intérêt spécifiques de la mémoire.

Il n'utilise que des appels natifs de l'API Win32, donc aucune dépendance, et a fonctionné de Windows 2000 jusqu'à Windows 10 (une compilation vers différentes versions de .NET sera nécessaire pour les plateformes plus anciennes).

La principale limitation concerne les processus protégés : Mnemosyne ne pourra pas accéder à la mémoire virtuelle d'un processus protégé et ignorera donc tout processus de ce type sans en extraire la mémoire.

Exécutez Mnemosyne.exe pour une utilisation complète.