MemProcFS-Analyzer

MemProcFS-Analyzer.ps1 é um script PowerShell utilizado para simplificar o uso do MemProcFS e otimizar seu fluxo de trabalho de análise de memória.

MemProcFS - O Sistema de Arquivos de Processo de Memória por Ulf Frisk
https://github.com/ufrisk/MemProcFS

Recursos:

Análise de memória rápida e fácil!
Você pode montar um snapshot de memória (Raw Physical Memory Dump ou Microsoft Crash Dump) como uma imagem de disco e utilizar o recurso de compactação de memória no Windows
Instalação automática de MemProcFS, AmcacheParser, AppCompatCacheParser, Elasticsearch, entropy, EvtxECmd, ImportExcel, IPinfo CLI, jq, lnk_parser, RECmd, SBECmd, xsv, YARA e Zircolite
Atualização automática de MemProcFS, AmcacheParser, AppCompatCacheParser, Elasticsearch, entropy, EvtxECmd (incl. Maps), ImportExcel, IPinfo CLI, jq, Kibana, lnk_parser, RECmd, SBECmd, xsv, YARA e Zircolite
Informação de atualização quando houver uma nova versão do ClamAV ou um novo Dokany File System Library Bundle disponível
Suporte a Pagefile
Fingerprinting de SO
Verificação com regras YARA personalizadas (incluindo 447 regras de, por exemplo, Chronicle e Elastic Security)
Verificação multithread com ClamAV para Windows
Coleta de arquivos infectados detectados pelo ClamAV para análise adicional (PW: infected)
Coleta de módulos injetados detectados pelo MemProcFS PE_INJECT para análise adicional (PW: infected)
Extração de IPv4/IPv6
Mapeamento IP2ASN e GeoIP com IPinfo CLI → Obtenha seu token gratuitamente em https://ipinfo.io/signup
Verificação de números de porta suspeitos
Árvore de Processos (TreeView) incluindo a cadeia completa de chamadas de processo (Process Call Chain) (Agradecimento especial a Dominik Schmidt)
Verificação de processos em busca de relações pai-filho incomuns e número de instâncias
Verificação de processos para contexto de usuário incomum
Verificação de mascaramento de caminho de processo e mascaramento de nome de processo (Distância de Damerau Levenshtein)
Histórico do navegador da web (Google Chrome, Microsoft Edge e Firefox)
Extração de arquivos de log de eventos do Windows e processamento com EvtxECmd → Timeline Explorer (EZTools por Eric Zimmerman)
Visão geral do log de eventos
Processamento de logs de eventos do Windows com Zircolite - Uma ferramenta de detecção autônoma baseada em SIGMA para EVTX
Análise do Amcache.hve extraído com Amcacheparser (EZTools por Eric Zimmerman)
Análise do Application Compatibility Cache, também conhecido como ShimCache, com AppCompatcacheParser (EZTools por Eric Zimmerman)
Análise do Syscache com RECmd (EZTools por Eric Zimmerman)
Análise dos artefatos UserAssist com RECmd (EZTools por Eric Zimmerman)
Análise dos artefatos ShellBags com RECmd (EZTools por Eric Zimmerman)
Visualização simples de Prefetch (baseada em linha do tempo forense)
Análise de Pontos de Extensibilidade de Inicialização Automática (ASEPs) com RECmd (EZTools por Eric Zimmerman)
Análise de RecentDocs e Office Trusted Document com RECmd (EZTools por Eric Zimmerman)
Análise do Registro com o arquivo em lote DFIR do RECmd (DFIR Batch File por Andrew Rathbun)
Análise de metadados dos módulos de processo recuperados (experimental)
Extração de arquivos de atalho do Windows (LNK)
Caça a arquivos de atalho maliciosos do Windows (LNK)
Integração do módulo PowerShell ImportExcel por Doug Finke
Dados de saída CSV para análise com Timeline Explorer (por exemplo, timeline-reverse.csv, findevil.csv, web.csv)
Coleta de arquivos de evidência (Contêiner de arquivo seguro → PW: MemProcFS)
e muito mais

Download

Baixe a versão mais recente do MemProcFS-Analyzer na seção Releases.

Uso

Inicie o Windows PowerShell (ou Windows PowerShell ISE ou Visual Studio Code com PSVersion: 5.1) como Administrador e abra/execute o MemProcFS-Analyzer.ps1.

File-Browser
Figura 1: Selecione seu snapshot de memória e selecione seu pagefile.sys (Opcional)

Auto-Install
Figura 2: O MemProcFS-Analyzer instala dependências automaticamente (Primeira execução)

Microsoft-Internet-Symbol-Store
Figura 3: Aceite os Termos de Uso (Primeira execução)

MemProcFS
Figura 4: Se você achar o MemProcFS útil, torne-se um patrocinador em: https://github.com/sponsors/ufrisk

Mounted
Figura 5: Você pode investigar o dump de memória montado explorando a letra da unidade

Auto-Update
Figura 6: O MemProcFS-Analyzer verifica atualizações (Segunda execução)

Nota: É recomendável descomentar/desativar a função "Updater" após a instalação. Confira o "Main" na parte inferior do script.

Figura 7: Recurso FindEvil e análises adicionais

Processes
Figura 8: Processos

RunningAndExited
Figura 9: Processos em execução e encerrados

ProcessTree
Figura 10: Árvore de Processos (GUI)

ProcessTreeSearch
Figura 11: Verificando a Árvore de Processos (para encontrar anomalias)

ProcessTreeAlerts
Figura 12: Árvore de Processos: Mensagens de alerta com Process Call Chain

PropertiesView
Figura 13: Árvore de Processos: Visualização de Propriedades → Clique duas vezes em um processo ou mensagem de alerta

IPinfo
Figura 14: GeoIP com IPinfo.io

MapReport
Figura 15: Mapeie IPs com IPinfo.io

EVTX
Detections
Figura 16: Processamento de logs de eventos do Windows (EVTX)

Figura 17: Zircolite - Uma ferramenta de detecção autônoma baseada em SIGMA para EVTX (Mini-GUI)

Amcache
Figura 18: Processamento do Amcache.hve extraído → XLSX

Figura 19: Processamento do ShimCache → XLSX

Timeline-Explorer
Figura 20: Analise a saída CSV com o Timeline Explorer (TLE)

ELK-Import
Figura 21: Importação ELK

ELK-Timeline
Figura 22: Feliz caçada ELK!

Secure-Archive-Container
Figura 23: Verificação ClamAV multithread para ajudar você a encontrar o mal! ;-)

Message-Box
Figura 24: Pressione OK para encerrar o MemProcFS e o Elastisearch/Kibana

Output
Figura 25: Contêiner de arquivo seguro (PW: MemProcFS)

Introdução ao MemProcFS e à Forense de Memória

Confira Super Easy Memory Forensics por Hiroshi Suzuki e Hisao Nashiwa.

Pré-requisitos

Baixe e instale o pacote mais recente do Dokany Library Bundle → DokanSetup.exe
https://github.com/dokan-dev/dokany/releases/latest
Baixe e instale o .NET 9 Desktop Runtime mais recente (Requisito para EZTools)
https://dotnet.microsoft.com/en-us/download/dotnet/9.0
Baixe e instale o pacote mais recente do ClamAV para Windows.
https://www.clamav.net/downloads#otherversions
Configuração Inicial do ClamAV
Inicie o console do Windows PowerShell como Administrador.
cd "C:\Program Files\ClamAV"
copy .\conf_examples\freshclam.conf.sample .\freshclam.conf
copy .\conf_examples\clamd.conf.sample .\clamd.conf
write.exe .\freshclam.conf → Comente ou remova a linha que diz "Example".
write.exe .\clamd.conf → Comente ou remova a linha que diz "Example".
https://docs.clamav.net/manual/Usage/Configuration.html#windows
Otimize o desempenho de velocidade da verificação do ClamAV (30% mais rápido)
Abra "C:\Program Files\ClamAV\clamd.conf" com seu editor de texto e procure por: "Don't scan files and directories matching regex"
ExcludePath "\\heaps\\"

Notas:

Desative temporariamente sua proteção antivírus ou, melhor, exclua seu diretório do MemProcFS-Analyzer da verificação (por exemplo, Zircolite).
Dicas de Elasticsearch