Process Dump

Process Dump एक Windows रिवर्स-इंजीनियरिंग कमांड-लाइन टूल है जो मैलवेयर मेमोरी घटकों को विश्लेषण के लिए वापस डिस्क पर डंप करता है। अक्सर मैलवेयर फ़ाइलें AV स्कैनर से बचने के लिए निष्पादित होने से पहले पैक और ऑब्फस्केट की जाती हैं, लेकिन जब ये फ़ाइलें निष्पादित होती हैं तो वे अक्सर मैलवेयर कोड का एक साफ़ संस्करण मेमोरी में अनपैक या इंजेक्ट कर देती हैं। मैलवेयर का विश्लेषण करते समय मैलवेयर शोधकर्ताओं के लिए एक सामान्य कार्य इस अनपैक किए गए कोड को मेमोरी से वापस डिस्क पर डंप करना है ताकि AV उत्पादों से स्कैन किया जा सके या IDA जैसे स्टैटिक विश्लेषण टूल से विश्लेषण किया जा सके।

Process Dump Windows 32 और 64 बिट ऑपरेटिंग सिस्टम के लिए काम करता है और विशिष्ट प्रक्रियाओं या वर्तमान में चल रही सभी प्रक्रियाओं से मेमोरी घटकों को डंप कर सकता है। Process Dump एक clean-hash डेटाबेस के निर्माण और उपयोग का समर्थन करता है, ताकि kernel32.dll जैसी ज्ञात फ़ाइलों को डंप करना छोड़ा जा सके। इसकी मुख्य विशेषताओं में शामिल हैं:

• किसी विशिष्ट प्रक्रिया या सभी प्रक्रियाओं से कोड डंप करता है।
• उन छिपे हुए मॉड्यूल को ढूंढता और डंप करता है जो प्रक्रियाओं में ठीक से लोड नहीं होते।
• ढीले कोड चंक्स को भी ढूंढता और डंप करता है, भले ही वे किसी PE फ़ाइल से जुड़े न हों। यह चंक्स के लिए एक PE हेडर और इम्पोर्ट टेबल बनाता है।
• आक्रामक दृष्टिकोण का उपयोग करके इम्पोर्ट्स का पुनर्निर्माण करता है।
• close dump monitor मोड (-closemon) में चल सकता है, जहाँ हुक की गई प्रक्रियाओं को समाप्त होने से ठीक पहले रोका और डंप किया जाएगा।
• मल्टी-थ्रेडेड है, इसलिए जब आप सभी चल रही प्रक्रियाओं को डंप कर रहे होंगे तो यह काफी तेज़ी से होगा।
• एक clean hash डेटाबेस उत्पन्न कर सकता है। बाद के डंप के दौरान ज्ञात मॉड्यूल को छोड़ने के लिए इसे एक साफ़ सिस्टम पर उत्पन्न करें।

मैं अपनी वेबसाइट पर एक आधिकारिक कंपाइल किया गया रिलीज़ बनाए रख रहा हूँ, यहाँ: https://split-code.com/processdump.html

Installation

आप Process Dump का नवीनतम कंपाइल किया गया रिलीज़ यहाँ से डाउनलोड कर सकते हैं:

• https://github.com/glmcdona/Process-Dump/releases

64-बिट Windows पर pd64.exe (अनुशंसित) का उपयोग करें, या 32-बिट Windows पर pd32.exe का। दोनों बाइनरीज़ स्टैंडअलोन हैं; Microsoft Visual C++ Redistributable की आवश्यकता नहीं है।

Command-line arguments

Process Dump मेमोरी से सभी अज्ञात कोड डंप कर सकता है (-system), विशिष्ट प्रक्रियाओं को डंप कर सकता है, या प्रक्रियाओं की निगरानी कर सकता है और उनके समाप्त होने से पहले उन्हें डंप कर सकता है।

एक साफ़ वर्कस्टेशन पर, निम्नलिखित में से किसी एक से बेसलाइन डेटाबेस उत्पन्न करें:

• pd64.exe -db genquick
• pd64.exe -db gen

डेटाबेस जनरेशन और डंपिंग को अलग-अलग कमांड के रूप में चलाएँ। सर्वोत्तम पहुँच के लिए, Administrator के रूप में चलाएँ। डिफ़ॉल्ट वर्कर संख्या 16 है।

उदाहरण उपयोग:

• pd64.exe -system
• pd64.exe -pid 419
• pd64.exe -pid 0x1a3
• pd64.exe -pid 0x1a3 -a 0x401000 -o C:\dumps
• pd64.exe -p "chrome[.]exe"
• pd64.exe -p ".*chrome.*"
• pd64.exe -closemon

General Dumping Options

Option	Description
-system	सभी सुलभ प्रक्रियाओं से उन मॉड्यूल और ढीले कोड को डंप करता है जो clean hash डेटाबेस से मेल नहीं खाते।
-pid <pid>	एक विशिष्ट प्रक्रिया को डंप करता है। दशमलव या हेक्साडेसिमल PID के लिए 0x प्रीफ़िक्स का उपयोग करें।
-closemon	प्रक्रिया समाप्ति को हुक करता है और बाहर निकलने से पहले डंप करता है। नियंत्रित वातावरण में उपयोग करें; रोकने के लिए Ctrl+C दबाएँ।
-p <regex>	उन प्रक्रियाओं को डंप करता है जिनका पूरा नाम केस-सेंसिटिव रेगुलर एक्सप्रेशन से मेल खाता है। कई मैच होने पर पुष्टि के लिए पूछा जाएगा।
-a <address>	निर्दिष्ट बेस एड्रेस पर डंप करता है। -pid आवश्यक है; दशमलव या 0x-प्रीफ़िक्स्ड हेक्स स्वीकार करता है।
-o <path>	आउटपुट फ़ोल्डर सेट करता है (डिफ़ॉल्ट: वर्तमान कार्यशील निर्देशिका)। पहले फ़ोल्डर बनाएँ; मौजूदा फ़ाइलों को कभी ओवरराइट नहीं किया जाता।

Clean Hash Database Options

डेटाबेस फ़ाइलें डिफ़ॉल्ट रूप से एप्लिकेशन निर्देशिका में होती हैं: clean.hashes, entrypoints.hashes और shortentrypoints.hashes।

विकल्प	विवरण
-db gen	%WINDIR%, %USERPROFILE%, C:\Program Files और C:\Program Files (x86) में चल रही प्रक्रियाओं और PE फ़ाइलों से पुनरावर्ती रूप से हैश जोड़ता है।
-db genquick	केवल चल रही प्रक्रियाओं से हैश जोड़ता है। gen से तेज़, लेकिन कम पूर्ण।
-db add <dir>	निर्दिष्ट निर्देशिका से पुनरावर्ती रूप से PE फ़ाइल हैश जोड़ता है, जिसमें एंट्रीपॉइंट हस्ताक्षर भी शामिल हैं।
-db remove <dir>, -db rem <dir>	निर्देशिका से पुनरावर्ती रूप से मेल खाते क्लीन-मॉड्यूल हैश हटाता है। एंट्रीपॉइंट हस्ताक्षर बनाए रखे जाते हैं।
-nr	डेटाबेस जोड़ने/हटाने के कमांड के लिए पुनरावर्तन अक्षम करता है। -db gen को प्रभावित नहीं करता।
-db clean	एंट्रीपॉइंट हस्ताक्षर सहित तीनों डेटाबेस साफ़ करता है।
-db ignore	फ़ाइलों को बदले बिना इस डंप के लिए तीनों लोड किए गए डेटाबेस को अनदेखा करता है। रन के भीतर दोहराए गए मॉड्यूल फिर भी छोड़े जा सकते हैं।
-cdb <filepath>, -c <filepath>	क्लीन हैश डेटाबेस पथ सेट करता है।
-edb <filepath>	एंट्रीपॉइंट हैश डेटाबेस पथ सेट करता है।
-esdb <filepath>	शॉर्ट एंट्रीपॉइंट हैश डेटाबेस पथ सेट करता है।

आउटपुट विकल्प

विकल्प	विवरण
-v	विस्तृत डायग्नोस्टिक्स प्रिंट करता है।
-nh	संस्करण/कॉपीराइट बैनर को दबाता है।
--help, -help, -h, --h	सहायता प्रिंट करता है और बाहर निकलता है। बिना आर्ग्युमेंट के चलाने पर भी सहायता प्रिंट होती है।

उन्नत विकल्प

विकल्प	विवरण
-g	मौजूदा हेडर को अनदेखा करते हुए 32-बिट और 64-बिट दोनों PE हेडर के निर्माण को बाध्य करता है।
-eprec	वैध एंट्रीपॉइंट मौजूद होने पर भी एंट्रीपॉइंट रिकवरी को बाध्य करता है। रिकवरी ह्यूरिस्टिक है; असफल खोज पुराने मान को अपरिवर्तित छोड़ देती है।
-ni	आक्रामक इम्पोर्ट पुनर्निर्माण अक्षम करता है (डिफ़ॉल्ट रूप से सक्षम)।
-nc	लूज़-कोड डंपिंग और हैशिंग अक्षम करता है (डिफ़ॉल्ट रूप से सक्षम)।
-nep	एंट्रीपॉइंट रिकवरी और लाइव एंट्रीपॉइंट हैशिंग अक्षम करता है, -eprec को ओवरराइड करता है। फ़ाइल डेटाबेस निर्माण अभी भी एंट्रीपॉइंट हस्ताक्षर एकत्र करता है।
-reexec	डंप को फिर से चलाने के लिए प्रयोगात्मक तैयारी। कुछ कैप्चर की गई स्थिति को त्यागता है और मूल सेक्शन लेआउट मान लेता है; डंप नहीं चलाता और इसके काम करने की गारंटी नहीं देता। डिफ़ॉल्ट रूप से बंद।
-nt	एक वर्कर का उपयोग करता है, जो -t 1 के बराबर है। क्लोज़ मॉनिटरिंग में अभी भी एक अलग मॉनिटरिंग थ्रेड होता है।
-t <count>	सिस्टम डंपिंग, डेटाबेस निर्माण और क्लोज़ मॉनिटरिंग के लिए वर्कर संख्या सेट करता है (डिफ़ॉल्ट 16, न्यूनतम 1)। सीधे PID/नाम डंप सिंक्रोनस रहते हैं। अंतिम -t/-nt प्रभावी होता है।

उपयोग के उदाहरण

कमांड	विवरण
pd64.exe -db genquick	वर्तमान में चल रही प्रक्रियाओं से तेज़ी से एक बेसलाइन बनाता है।
pd64.exe -system -t 4 -o C:\dumps	चार वर्कर के साथ अज्ञात मॉड्यूल और लूज़ कोड को मौजूदा आउटपुट फ़ोल्डर में डंप करता है।
pd64.exe -closemon	टर्मिनेट मॉनिटर मोड में चलता है।
pd64.exe -pid 0x18A	किसी विशिष्ट प्रक्रिया से मॉड्यूल और लूज़ कोड डंप करता है।
pd64.exe -p ".*chrome.*"	chrome युक्त नाम वाली प्रक्रियाओं को डंप करता है।
pd64.exe -db gen	चल रही प्रक्रियाओं और सामान्य फ़ोल्डरों से अधिक पूर्ण बेसलाइन बनाता है।
pd64.exe -db add C:\baseline -nr	उपनिर्देशिकाओं को खोजे बिना किसी निर्देशिका से PE फ़ाइलें जोड़ता है।
pd64.exe -pid 0x1a3 -a 0x401000	किसी विशिष्ट पते पर डंप करता है। यदि कोई PE हेडर मौजूद नहीं है, तो 32-बिट और 64-बिट दोनों हेडर उत्पन्न करता है।

सैंडबॉक्स उपयोग

मैलवेयर विश्लेषण के लिए, एक पृथक लैब का उपयोग करें और Process Dump को Administrator के रूप में चलाएँ:

• सैंपल पेश करने से पहले pd64.exe -db gen या pd64.exe -db genquick के साथ क्लीन हैश डेटाबेस बनाएँ।
• हुक की गई प्रक्रियाओं को उनके समाप्त होते ही कैप्चर करने के लिए pd64.exe -closemon चलाते रहें।
• अभी भी चल रही प्रक्रियाओं को डंप करने के लिए pd64.exe -system का उपयोग करें।
• मॉनिटर को रोकने के लिए Ctrl+C दबाएँ।

जब तक -o सेट न हो, डंप कार्यशील निर्देशिका में लिखे जाते हैं। उन्हें निजी रखें। डंप विश्लेषण के लिए हैं और उनके चलने की गारंटी नहीं है; 256 MiB से बड़ी इमेज अस्वीकार कर दी जाती हैं।