해당 개발 빌드는 libc를 동적으로 링크합니다. 릴리스의 완전 정적 바이너리를 로컬에서 재현하려면 musl 타깃을 추가하세요: `rustup target add x86_64-unknown-linux-musl && cargo build --release --target x86_64-unknown-linux-musl`.```bash
# Inspect any dump — format, ranges, embedded metadata (no symbols needed)
mem4n6 info win10.mem

# Windows process tree. The ISF is resolved from the kernel's own PDB GUID;
# raw .mem dumps take the page-table base via --cr3 (crash dumps carry their own).
mem4n6 ps --symbols ntkrnlmp.json --cr3 0x1ad000 --tree win10.mem

# Linux process tree from a LiME capture
mem4n6 ps --symbols linux.json --tree memdump.lime

# Air-gapped lab? Never touch the network for symbols:
mem4n6 ps --symbols ntkrnlmp.json --offline win10.mem

---

## 빠른 참조```bash
# Show dump format and physical memory ranges
mem4n6 info memdump.dmp

# Process tree with threads and DLLs
mem4n6 ps --symbols ntkrnlmp.json --tree --threads --dlls memdump.dmp

# Network connections (json / csv / table)
mem4n6 net --symbols ntkrnlmp.json --output json memdump.dmp

# Kernel integrity checks (SSDT, IDT, callbacks, hooks)
mem4n6 check --symbols ntkrnlmp.json --ssdt --callbacks memdump.dmp

# Linux syscall hook and malfind scan
mem4n6 check --symbols linux.json --hooks --malfind memdump.lime

# String extraction with YARA rules
mem4n6 strings --rules ./yara-rules/ --min-length 8 memdump.dmp

# Hash lookup against NSRL (known-good) and MalwareBazaar (known-bad)
mem4n6 hash --lookup memdump.dmp

# Extract framebuffer screenshot from live memory dump
mem4n6 framebuf --symbols linux.json --png screen.png memdump.dmp

# Recover files from tmpfs mounts + detect memfd fileless ELF execution
mem4n6 check --symbols linux.json --tmpfs-recovery --memfd memdump.lime

# Detect EDR bypass: direct syscalls, ETW patching, AMSI/DSE bypass
mem4n6 check --symbols ntkrnlmp.json --direct-syscalls --etw-patch --amsi-bypass memdump.dmp

# Novel kernel interface abuse: io_uring, netfilter hooks, perf_event
mem4n6 check --symbols linux.json --io-uring --netfilter --perf-event memdump.lime

# Cross-artifact ATT&CK correlation across all walkers
mem4n6 correlate --symbols ntkrnlmp.json --output json memdump.dmp

I need to translate chunk 11 of 47 of a Markdown document from English to Korean, but the input content provided is empty. There is no text to translate.```
[HOOK]  sys_call_table[59]  execve  → 0xffffffffc0a2f3d0  (outside kernel text)
[HOOK]  ftrace_ops[0]  target: vfs_read  → 0xffffffffc0a2f410  (module: libymv_ko)
[HOOK]  security_inode_getattr  → 0xffffffffc0a2f450  (LSM hook patched)

Please provide the Markdown content to translate.```
[ROOTKIT] /tmp/.x/libhider.so  signals=[elf.hooks.process_hiding, elf.hooks.pam_credential_theft]
  exports: readdir64, getdents64, pam_get_item, pam_authenticate
  MITRE: T1014 (Rootkit), T1556.003 (Modify Authentication Process)
  loaded in 100% of processes (23/23)

[ROOTKIT] /tmp/.x/libhider.so  .rodata match: "UID:%d:" (Father PAM hook format string, weight=90)

No content was provided in the INPUT section. Please provide the chunk content to translate.```
[DPAPI] GUID={A1B2C3D4-...}  blob_len=680  source=lsass.exe
[COOKIE] msedge.exe  domain=.github.com  name=user_session  value=secretvalue...
[COOKIE] chrome.exe  (v10-encrypted)  — key material required for decryption

라이브 또는 최대 절전 메모리 덤프에서 프레임버퍼를 추출하여 PNG로 저장합니다. Linux(DRM/KMS `drm_framebuffer` 워커)와 Windows(`win32k` 풀 스캔을 통한 세션 프레임버퍼) 모두에서 작동합니다. 이미지를 부팅하지 않고 획득 시점의 화면 상태를 캡처하는 데 유용합니다.

---

## 디스크에 닿은 적 없는 파일 복구

tmpfs나 `memfd_create(2)`를 사용하는 공격자는 파일 시스템에 흔적을 남기지 않습니다 — 바이너리는 RAM에만 존재합니다.```bash
# Recover inodes and file content from Linux tmpfs/ramfs mounts
mem4n6 check --symbols linux.json --tmpfs-recovery memdump.lime

# Detect ELF binaries running from anonymous memfd file descriptors
mem4n6 check --symbols linux.json --memfd memdump.lime

tmpfs 복구는 커널 `vfsmount` 테이블을 순회하고 페이지 캐시 페이지에서 inode 콘텐츠를 재구성합니다. memfd 탐지는 모든 프로세스의 열린 파일 디스크립터 테이블을 순회하고 `memfd_create(2)`로 생성된 익명 inode에 플래그를 지정합니다.

---

## EDR 우회 및 로그 억제 탐지

최신 공격 도구는 디스크를 건드리지 않고 탐지를 회피하기 위해 메모리에서 Windows 보안 계측을 패치합니다.```bash
# Direct syscalls — Syswhispers/Hell's Gate bypass Win32 API entirely
mem4n6 check --symbols ntkrnlmp.json --direct-syscalls memdump.dmp

# ETW patching — log suppression via ret/xor at ETW write functions
mem4n6 check --symbols ntkrnlmp.json --etw-patch memdump.dmp

# AMSI bypass — script-scanning suppression via amsi.dll patch
mem4n6 check --symbols ntkrnlmp.json --amsi-bypass memdump.dmp

# DSE bypass — Driver Signature Enforcement disabled for unsigned drivers
mem4n6 check --symbols ntkrnlmp.json --dse-bypass memdump.dmp

---

## 새로운 Linux 커널 인터페이스 악용

고전적인 syscall 훅을 넘어, 현대의 루트킷은 더 새로운 커널 하위 시스템을 악용합니다. `memory-forensic`은 세 가지를 모두 다룹니다:```bash
mem4n6 check --symbols linux.json --io-uring --netfilter --perf-event memdump.lime

---

## 컨테이너 탈출 지표```bash
mem4n6 check --symbols linux.json --container-escape memdump.lime

모든 프로세스에 대해 user, mount, PID, net, cgroup 네임스페이스를 순회하고, 격리되어야 하지만 호스트 수준 네임스페이스를 공유하는 프로세스에 플래그를 지정합니다 — 이는 달성 방법과 관계없이 컨테이너 탈출의 구조적 시그니처입니다.

---

## 아티팩트 간 ATT&CK 상관관계

`memf-correlate`는 워커를 하나씩 실행할 필요 없이 모든 워커의 발견 결과를 타임라인으로 결합하고, 이상 징후를 심각도별로 점수화하며, 각각을 MITRE ATT&CK 기법에 매핑합니다:```bash
mem4n6 correlate --symbols ntkrnlmp.json --output json memdump.dmp > findings.json

Process, network, module, hook, and credential walker results are correlated by process and time before scoring — producing ATT&CK-tagged findings rather than per-walker output that an analyst must join manually.

---

## 지원되는 메모리 포맷

| 포맷 | 소스 | 자동 감지 |
|---|---|---|
| LiME (`.lime`) | Linux 커널 모듈 | 예 |
| AVML v2 | Azure AVML | 예 |
| ELF Core | QEMU, `gcore` | 예 |
| Windows 크래시 덤프 (`.dmp`) | DumpIt, WinDbg | 예 |
| Hiberfil.sys | Windows 최대 절전 모드 / 빠른 시작 | 예 |
| VMware 상태 (`.vmss`, `.vmsn`) | VMware Workstation / ESXi | 예 |
| kdump / diskdump | `makedumpfile` | 예 |
| Raw / flat | 모든 폴백 | 예 |

포맷은 파일 헤더에서 감지됩니다 — 별도의 플래그가 필요하지 않습니다.

---

## 차별점

가장 가까운 대안은 **Volatility 3** (Python, 플러그인 아키텍처), **MemProcFS** (Rust 바인딩을 포함한 C, 주로 Windows), **Rekall** (Python, 유지보수되지 않음), 그리고 **MemNixFS** (C++, Linux 덤프를 파일시스템으로 마운트)입니다. 아래 비교는 각 도구의 공식 코어와 알려진 플러그인 저장소를 반영합니다. MemNixFS는 파일시스템 UX로 *Linux* 이미지를 대상으로 하므로 mem4n6의 페이지 캐시 파일 복구를 공유하지만 Windows 자체 프로파일링 및 EDR 우회 행에 대해서는 `n/a`입니다.

### 패리티 — 성숙한 도구와 공유하는 기능

| | memory-forensic | Volatility 3 | MemProcFS | MemNixFS | Rekall |
|--|:-:|:-:|:-:|:-:|:-:|
| Linux + Windows 커널 워커 | ✅ | ✅ | Windows 우선 | Linux 전용 | ✅ |
| 프로세스, 모듈, 네트워크 열거 | ✅ | ✅ | ✅ | ✅ | ✅ |
| 인젝션 메모리 탐지 | ✅ | ✅ | ✅ | ✅ | ✅ |
| ISF 심볼 팩 호환 | ✅ | ✅ | — | ✅ | — |
| Linux / macOS에서 실행 | ✅ | ✅ | 부분 | Linux + Win | ✅ |
| 활발히 유지보수 중 | ✅ | ✅ | ✅ | ✅ | — |
| 무료 및 오픈 소스 | ✅ | ✅ | ✅ | 라이선스 없음 | ✅ |

### 다른 도구의 공식 배포판에는 없는 기능

| | memory-forensic | Volatility 3 | MemProcFS | MemNixFS | Rekall |
|--|:-:|:-:|:-:|:-:|:-:|
| 단일 정적 바이너리 — Python 없음, 런타임 없음 | ✅ | — | — | 부분 | — |
| Rust 도구에 내장하기 위한 라이브러리 API | ✅ | — | ✅ | — | — |
| ELF 동작 기반 루트킷 핑거프린팅 | ✅ | — | — | — | — |
| tmpfs / ramfs 파일 복구 | ✅ | — | — | ✅ | — |
| memfd 무파일 실행 탐지 | ✅ | — | — | — | — |
| 직접 syscall / EDR 우회 탐지 | ✅ | plugin? | — | n/a | — |
| ETW / AMSI / DSE 우회 탐지 | ✅ | plugin? | — | n/a | — |
| io_uring / netfilter / perf\_event 남용 | ✅ | — | — | — | — |
| 컨테이너 탈출 지표 | ✅ | — | — | — | — |
| DPAPI 키 + Chrome 쿠키 추출 | ✅ | plugin? | — | n/a | — |
| 메모리에서 Shellbags 폴더 접근 증거 ‡ | ✅ | — | — | n/a | — |
| 프레임버퍼 스크린샷 | ✅ | plugin? | — | — | — |
| 교차 아티팩트 ATT&CK 상관 분석 | ✅ | — | — | — | — |
| 안전한 출력 — RFC 4180, 수식 주입 가드, bidi 제거 | ✅ | — | — | — | — |

> **`plugin?`** — 해당 기능은 작성 시점에 Volatility 3 커뮤니티 생태계에 존재할 수 있지만 공식 코어 및 플러그인 저장소에는 없습니다. 결론 내리기 전에 확인하세요.
>
> **‡ 메모리에서 Shellbags** — Volatility 2는 RAM에서 shellbags를 복구했습니다(커뮤니티 `shellbags` 플러그인, Kovar 그다음 Lo). Volatility 3는 이를 다시 포팅하지 않았으므로 vol2→vol3 전환 과정에서 메모리 전용 shellbag 복구가 퇴보했습니다. mem4n6는 메모리 내 `UsrClass.dat`/`NTUSER.DAT` 하이브에서 `Shell\BagMRU`를 직접 탐색하여, 디스크를 획득하지 않은 RAM 전용 사례에 대해 vol2 시대의 기능을 복원하거나, 디스크의 하이브를 보강합니다. 디스크가 *있는* 경우의 일반적인 방법은 이미지를 마운트하고 하이브 파일에 대해 SBECmd / RegRipper를 실행하는 것입니다. 메모리 탐색은 하이브를 덤프한 후 파싱하는 2단계 과정을 하나로 축소합니다. 검증은 **tier-2**입니다. `citadeldc01.mem`에서 추출한 하이브에 대해 `regipy`로 도출한 ground truth를 사용합니다. Szechuan 사례에 대해 게시된 제3자 shellbag 정답 키가 없으므로, 이는 자체 도출된 오라클(실제 도구 + 실제 이미지)이며 제3자 키가 아닙니다.

---

## 신뢰하되 검증하라

**신뢰할 수 없고 공격자가 제어할 수 있는** 메모리 이미지를 파싱하는 도구는 거짓말을 거부하고 충돌을 거부해야 합니다. mem4n6는 그 기준에 맞춰 설계되었습니다:

- **적대적인 입력에 대해 린트로 패닉 방지.** 파싱 경로는 `unwrap`/`expect`/`panic!` 및 검사되지 않은 인덱싱을 거부하며(`clippy::unwrap_used`/`expect_used` = deny), 모든 길이, 오프셋, 포인터 읽기는 경계 검사를 거쳐 우아하게 저하됩니다 — 흐트러진 프로세스 목록은 발견한 내용을 반환할 뿐 중단되지 않습니다. (빌더 API는 프로그래머 오류 — 필수 필드 누락 — 에 대해서만 패닉하며, 덤프 내용으로는 절대 패닉하지 않습니다.)
- **기본적으로 메모리 안전.** 작업공간 전체에서 `unsafe_code = "deny"`; 유일한 `unsafe`는 제한적인 `memmap2` 파일 매핑(덤프, 페이지 파일, 알려진 정상 해시 DB)이며 각각 개별적으로 정당화됩니다 — 따라서 *금지* 대신 *제한적(mmap 전용)* 배지를 사용합니다.
- **자체 픽스처뿐만 아니라 독립적인 오라클로 검증.** Windows 프로세스 워커는 실제 2 GB Win10 이미지에서 Volatility 3와 비교되며, 공유된 모든 프로세스에 대해 정확히 일치하고 오탐이 없습니다 ([`docs/validation.md`](https://github.com/securityronin/memory-forensic/blob/HEAD/docs/validation.md)).
- **안전한 출력.** 모든 채널(테이블/CSV/JSON)은 공격자가 제어하는 문자열이 터미널이나 파이프라인에 도달하기 전에 RFC 4180 인용, 스프레드시트 수식 주입 가드, bidi/제어 문자 제거를 적용합니다.

---

## 라이브러리 사용```rust
use mem4n6_format::open;
use mem4n6_core::vas::{TranslationMode, VirtualAddressSpace};
use mem4n6_core::object_reader::ObjectReader;
use mem4n6_symbols::isf::IsfResolver;

// Open any supported format — detected from file headers
let dump = open("memdump.dmp")?;
let symbols = IsfResolver::from_file("ntkrnlmp.json")?;

// Walk the x86_64 4-level page table
let vas = VirtualAddressSpace::new(dump.clone(), TranslationMode::X64, cr3);
let reader = ObjectReader::new(vas, Box::new(symbols));

// Walk EPROCESS list
for proc in reader.eprocess_list()? {
    println!("{} (PID {})", proc.image_name()?, proc.pid()?);
}