MemProcFS:

MemProcFS è un modo semplice e conveniente di visualizzare la memoria fisica come file in un file system virtuale.

Analisi della memoria facile e immediata con un semplice clic, senza la necessità di complicati argomenti da riga di comando! Accedi al contenuto della memoria e agli artefatti tramite file in un file system virtuale montato o tramite una libreria applicativa ricca di funzionalità da includere nei tuoi progetti!

Analizza file di dump della memoria, memoria live tramite DumpIt o WinPMEM, memoria live in modalità lettura-scrittura da macchine virtuali o da dispositivi hardware PCILeech FPGA!

È persino possibile connettersi a un agente remoto di acquisizione della memoria LeechAgent tramite una connessione sicura, consentendo l'incident response remota sulla memoria live, anche su connessioni ad alta latenza e bassa larghezza di banda! Dai un'occhiata a Virtual Machines with MemProcFS, LiveCloudKd o VMware!

Usa i tuoi strumenti preferiti per analizzare la memoria: usa i tuoi hex editor preferiti, i tuoi script python e powershell, WinDbg o i tuoi disassembler e debugger preferiti: funzioneranno tutti facilmente con MemProcFS semplicemente leggendo e scrivendo file!

Inizia!

Dai un'occhiata all'eccellente rapida panoramica di 13Cubed per iniziare! Dai anche un'occhiata ai miei vecchi interventi alle conferenze Disobey e BlueHat.

Per documentazione aggiuntiva consulta la wiki del progetto per informazioni dettagliate e approfondite sul file system stesso, sulla sua API e sui suoi moduli plugin! Per ulteriori informazioni sui metodi di acquisizione della memoria consulta il progetto LeechCore o entra nel server Discord PCILeech/MemProcFS!

Per iniziare scarica gli ultimi binari, moduli e file di configurazione e consulta la guida!

Installazione:

Ottieni gli ultimi binari, moduli e file di configurazione dall'ultima release. In alternativa, clona il repository e compila dal sorgente.

Windows

Il montaggio del file system richiede l'installazione della libreria file system Dokany. Scarica e installa l'ultima versione di Dokany versione 2 su: https://github.com/dokan-dev/dokany/releases/latest

Per catturare la memoria live (senza hardware PCILeech FPGA) scarica DumpIt e avvia MemProcFS tramite DumpIt in modalità /LIVEKD. In alternativa, ottieni WinPMEM scaricando il più recente driver WinPMEM firmato e posizionalo accanto a MemProcFS: istruzioni dettagliate nella Wiki di LeechCore.

PCILeech FPGA richiederà hardware oltre a FTD3XXWU.dll da posizionare accanto ai binari di MemProcFS. Consulta il progetto LeechCore per le istruzioni.

Linux

MemProcFS dovrebbe essere eseguibile senza configurazioni aggiuntive sulla maggior parte delle distribuzioni Linux con FUSE installato. Se compili dal sorgente, consulta la guida su MemProcFS su Linux.

macOS

Scarica l'ultima release di MemProcFS da qui. MemProcFS, quando utilizzato come file system virtuale montato, dipende da macFuse, che richiede un .kext. Scarica e installa macFuse qui. Se MemProcFS viene utilizzato tramite le API C/C++/Rust supportate, macFuse non è richiesto.

Ampia API Python, Rust, Java, Go, C# e C/C++:

Includi MemProcFS nei tuoi progetti di programmazione C/C++, C#, Java, Go (di terze parti), Python o Rust! Tutto in MemProcFS è esposto tramite un'API facile da usare per l'utilizzo nei tuoi progetti! L'architettura amichevole verso i plugin consente agli utenti di estendere facilmente MemProcFS con plugin C/C++/Rust/Python!

Tutto in MemProcFS è esposto tramite API. Esistono API sia per C/C++ vmmdll.h, C# pacchetto nuget, Java, Python pacchetto pip e Rust crate. Il file system stesso è reso disponibile virtualmente tramite l'API senza la necessità di montarlo. È possibile leggere sia la memoria virtuale dei processi che la memoria fisica! L'esempio seguente mostra la lettura di 0x20 byte dall'indirizzo fisico 0x1000:

>>> import memprocfs
>>> vmm = memprocfs.Vmm(['-device', 'c:/temp/win10_memdump.raw'])
>>> print(vmm.hex( vmm.memory.read(0x1000, 0x20) ))
0000    e9 4d 06 00 01 00 00 00  01 00 00 00 3f 00 18 10   .M..........?...
0010    00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

MemProcFS è disponibile come pacchetto pip Python ed è facile integrarlo nei tuoi Jupyter Notebooks.

Esempi:

Avvia MemProcFS dalla riga di comando, possibilmente utilizzando uno degli esempi seguenti.

Oppure registra l'estensione del file di dump della memoria con MemProcFS.exe in modo che il file system venga montato automaticamente quando si fa doppio clic su un file di dump della memoria!

• monta il file di dump della memoria come M: predefinito:
  memprocfs.exe -device c:\temp\win10x64-dump.raw
• monta il file di dump della memoria come M: predefinito con verbosità aggiuntiva:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -v
• monta il file di dump della memoria come M: predefinito e avvia la modalità forense:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1
• monta il file di dump della memoria come M: predefinito e avvia la modalità forense con una scansione yara:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1 -forensic-yara-rules c:\yara\rules\windows_malware_index.yar
• monta il file di dump della memoria come /home/pi/mnt/ su Linux:
  ./memprocfs -mount /home/pi/linux -device /dumps/win10x64-dump.raw
• monta il file di dump della memoria come S:
  memprocfs.exe -mount s -device c:\temp\win10x64-dump.raw
• monta la memoria live del target, in modalità sola lettura, con il driver WinPMEM:
  memprocfs.exe -device pmem
• monta la memoria live del target, in modalità lettura/scrittura, con il dispositivo di acquisizione della memoria PCILeech FPGA:
  memprocfs.exe -device fpga -memmap auto

Comunità PCILeech e MemProcFS:

Trovi tutto questo un po' travolgente? O vuoi solo fare una domanda veloce? Unisciti al server della comunità DMA PCILeech e MemProcFS su Discord!

Compilazione:

I binari, moduli e file di configurazione precompilati si trovano nell'ultima release.. I binari di MemProcFS sono compilati con Visual Studio 2022 e Ubuntu x64/AARCH64.

Istruzioni dettagliate di compilazione possono essere trovate nella Wiki nella sezione Building.

Licenza:

Il codice sorgente del progetto è rilasciato sotto: GNU Affero General Public License v3.0. Alcune dipendenze e plugin inclusi sono rilasciati sotto GPLv3. Alcuni binari ridistribuibili Microsoft inclusi sono rilasciati sotto licenze separate. Licenze alternative potrebbero essere possibili su richiesta.

Contributi:

PCILeech, MemProcFS e LeechCore sono open source ma non a contribuzione aperta. PCILeech, MemProcFS e LeechCore offrono un'architettura di plugin altamente flessibile che consente contributi sotto forma di plugin. Se desideri apportare un contributo, diverso da un plugin, ai progetti principali, contattami prima di iniziare lo sviluppo.

Link:

• Twitter:
• Discord:
• PCILeech: https://github.com/ufrisk/pcileech
• PCILeech FPGA: https://github.com/ufrisk/pcileech-fpga
• LeechCore: https://github.com/ufrisk/LeechCore
• MemProcFS: https://github.com/ufrisk/MemProcFS
• Blog: http://blog.frizk.net

Link - Progetti Correlati:

• MemProcFS-Analyzer è un'applicazione PowerShell di terze parti utilizzata per semplificare l'uso di MemProcFS e ottimizzare il tuo flusso di lavoro di analisi della memoria. MemProcFS-Analyzer è mantenuto da @evild3ad presso LETHAL-FORENSICS.

Changelog:

v5.16

• Correzioni di bug.
• Supporto per Windows 11 25H2

v5.17

• Supporto per Windows 11 26H1.
• Parsing del registro migliorato.
• Nuove opzioni di aggiornamento nell'API.
• Nuovo callback di logging opzionale nell'API.
• Supporto per caratteri non ascii nei percorsi dei file.

v5.18

• Correzioni di bug.
• Nuovo modulo: parser Windows Terminal (Win11+).
• Nuovo modulo forense: parser amcache (Win10+).
• Limite superiore della mappa PTE regolato da 65536 a 131072.
• Correzione: le scritture di file in MemProcFS montato su WSL (drvfs) ora funzionano.

Ultima:

• Correzioni di bug.
• Correzione: il recupero dell'heap ora funziona su Windows 11 24H2 e successivi.
• Correzione: parsing di Pool e Heap migliorato.
• Correzione: tassi di recupero della memoria compressa migliorati.
• Nuovo modulo: /sys/eventlog (recupero registro eventi Windows).