मेमोरी-विश्लेषण

इसमें मेमोरी में मैलवेयर और फोरेंसिक विश्लेषण करने के लिए उपकरण शामिल हैं।

प्लगइन्स:

• Dyrescan.py - मेमोरी में Dyreconfig को पार्स करता है।
• Rat9002.py - मेमोरी में 9002 rat कॉन्फ़िग को पार्स करता है।
• plugx.py - मेमोरी में plugx कॉन्फ़िग को पार्स करता है (कॉन्फ़िग आकार: 0x170c को भी पार्स करने के लिए संशोधित)।
• ghostrat.py - मेमोरी में ghostrat कॉन्फ़िग को पार्स करता है।

विश्लेषण_स्क्रिप्ट:

• vol_analysis.sh - volatility के साथ विश्लेषण को स्वचालित करने की स्क्रिप्ट
• common_search_strings.txt - vol_analysis.sh द्वारा खतरा अभिनेताओं द्वारा उपयोग किए जाने वाले सामान्य कमांड खोजने के लिए उपयोग की जाने वाली टेक्स्ट फ़ाइल। अपनी खुद की शर्तों से भरें।
• drv_list.txt - इंटरनेट से एकत्रित सूची जिसमें सभी ज्ञात खराब और अच्छे ड्राइवर नाम शामिल हैं। vol_analysis.sh द्वारा खराब ड्राइवरों को खोजने के लिए उपयोग की जाती है।

Irma:

• स्थानीय मशीन पर IRMA के साथ इंटरैक्ट करने के लिए एक python स्क्रिप्ट बनाई गई। यह स्क्रिप्ट vol_analysis.sh द्वारा भी उपयोग की जाती है ताकि मेमोरी डंप से निकाले गए सभी फाइलों को सबमिट और स्कैन किया जा सके और विभिन्न AV-इंजनों के साथ उन पर विश्लेषण किया जा सके।
• vol_analysis स्क्रिप्ट के साथ उपयोग: vol_analysis.sh -p WinXPSP2x86 -f memdump.mem -d /output_path -t CASENAME ** आपकी मशीन पर IRMA चालू होना और IRMACL API स्थापित होना आवश्यक है।