MemTracer

MemTracerは、ライブメモリ分析機能を提供するツールであり、デジタルフォレンジック実務者がメモリに隠されたステルス攻撃の痕跡を発見・調査できるようにします。MemTracerはPython言語で実装されており、リフレクティブにロードされたネイティブ.NET Frameworkのダイナミックリンクライブラリ（DLL）を検出することを目的としています。これは以下の異常なメモリ領域の特性を調べることによって達成されます：

• 各メモリ領域におけるメモリページフラグの状態。具体的には、仮想メモリ使用のためにメモリページを予約するために使用されるMEM_COMMITフラグ。
• 領域内のページのタイプ。MEM_MAPPEDページタイプは、領域内のメモリページがセクションビューにマッピングされていることを示します。
• 領域のメモリ保護。PAGE_READWRITE保護は、メモリ領域が読み取りおよび書き込み可能であることを示します。これは、Assembly.Load(byte[])メソッドを使用してモジュールをメモリにロードする場合に発生します。
• メモリ領域にPEヘッダが含まれている。

ツールはまず実行中のプロセスをスキャンし、割り当てられたメモリ領域の特性を分析してリフレクティブDLLローディングの兆候を検出します。DLLモジュールとして識別された不審なメモリ領域は、さらなる分析と調査のためにダンプされます。
さらに、ツールは以下のオプションを備えています：

• 侵害されたプロセスをダンプする。
• 侵害されたプロセスに関する情報（プロセス名、ID、パス、サイズ、ベースアドレスなど）を提供するJSONファイルをエクスポートする。
• 特定のロードされたモジュールを名前で検索する。

例

python.exe memScanner.py [-h] [-r] [-m MODULE]
-h, --help ヘルプメッセージを表示して終了する
-r, --reflectiveScan リフレクティブDLLローディングを探す
-m MODULE, --module MODULE 特定のロードされたDLLを探す

スクリプトはすべてのプロセスを検査するために管理者権限が必要です。