MemTracer

MemTracer एक उपकरण है जो लाइव मेमोरी विश्लेषण क्षमताएँ प्रदान करता है, जिससे डिजिटल फोरेंसिक अभ्यासकर्ता मेमोरी में छिपे स्टील्थ हमले के निशानों का पता लगा सकते हैं और उनकी जांच कर सकते हैं। MemTracer Python भाषा में कार्यान्वित किया गया है, जिसका उद्देश्य रिफ्लेक्टिवली लोडेड नेटिव .NET फ्रेमवर्क डायनेमिक-लिंक लाइब्रेरी (DLL) का पता लगाना है। यह निम्नलिखित असामान्य मेमोरी क्षेत्र की विशेषताओं को देखकर प्राप्त किया जाता है:

• प्रत्येक मेमोरी क्षेत्र में मेमोरी पेज फ्लैग्स की स्थिति। विशेष रूप से, MEM_COMMIT फ्लैग जो वर्चुअल मेमोरी उपयोग के लिए मेमोरी पेज आरक्षित करने के लिए उपयोग किया जाता है।
• क्षेत्र में पेजों का प्रकार। MEM_MAPPED पेज प्रकार इंगित करता है कि क्षेत्र के भीतर मेमोरी पेज किसी सेक्शन के दृश्य में मैप किए गए हैं।
• क्षेत्र के लिए मेमोरी सुरक्षा। PAGE_READWRITE सुरक्षा यह इंगित करने के लिए कि मेमोरी क्षेत्र पढ़ने योग्य और लिखने योग्य है, जो तब होता है जब मॉड्यूल को मेमोरी में लोड करने के लिए Assembly.Load(byte[]) विधि का उपयोग किया जाता है।
• मेमोरी क्षेत्र में PE हेडर होता है।

यह उपकरण चल रही प्रक्रियाओं को स्कैन करके और आवंटित मेमोरी क्षेत्रों की विशेषताओं का विश्लेषण करके रिफ्लेक्टिव DLL लोडिंग के लक्षणों का पता लगाना शुरू करता है। संदिग्ध मेमोरी क्षेत्र जिन्हें DLL मॉड्यूल के रूप में पहचाना जाता है, आगे के विश्लेषण और जांच के लिए डंप किए जाते हैं।
इसके अलावा, उपकरण में निम्नलिखित विकल्प हैं:

• समझौता की गई प्रक्रिया को डंप करें।
• एक JSON फ़ाइल निर्यात करें जो समझौता की गई प्रक्रिया के बारे में जानकारी प्रदान करती है, जैसे कि प्रक्रिया का नाम, ID, पथ, आकार और बेस पता।
• नाम से विशिष्ट लोडेड मॉड्यूल खोजें।

उदाहरण

python.exe memScanner.py [-h] [-r] [-m MODULE]
-h, --help यह सहायता संदेश दिखाएं और बाहर निकलें
-r, --reflectiveScan रिफ्लेक्टिव DLL लोडिंग की खोज करें
-m MODULE, --module MODULE विशिष्ट लोडेड DLL खोजें

स्क्रिप्ट को सभी प्रक्रियाओं का निरीक्षण करने के लिए व्यवस्थापक विशेषाधिकारों की आवश्यकता है।