MemProcFS:

O MemProcFS é uma forma fácil e conveniente de visualizar memória física como arquivos em um sistema de arquivos virtual.

Análise de memória fácil e trivial com um clique, sem a necessidade de argumentos de linha de comando complicados! Acesse o conteúdo da memória e artefatos por meio de arquivos em um sistema de arquivos virtual montado ou por meio de uma biblioteca de aplicativos rica em recursos para incluir em seus próprios projetos!

Analise arquivos de despejo de memória, memória ao vivo via DumpIt ou WinPMEM, memória ao vivo em modo leitura-escrita de máquinas virtuais ou de dispositivos de hardware PCILeech FPGA!

É até possível conectar-se a um agente remoto de aquisição de memória LeechAgent por meio de uma conexão segura - permitindo resposta a incidentes remotos em memória ao vivo - até mesmo em conexões de baixa largura de banda e alta latência! Dê uma olhada em Máquinas Virtuais com MemProcFS, LiveCloudKd ou VMware!

Use suas ferramentas favoritas para analisar memória - use seus editores hexadecimais favoritos, seus scripts python e powershell, WinDbg ou seus desmontadores e depuradores favoritos - todos funcionarão trivialmente com o MemProcFS apenas lendo e escrevendo arquivos!

Comece Agora!

Confira o excelente passo a passo rápido do 13Cubed para começar! Confira também minhas palestras mais antigas em conferências do Disobey e BlueHat.

Para documentação adicional confira o wiki do projeto para informações detalhadas e aprofundadas sobre o próprio sistema de arquivos, sua API e seus módulos de plugin! Para informações adicionais sobre métodos de aquisição de memória, confira o projeto LeechCore ou entre no servidor Discord PCILeech/MemProcFS!

Para começar, baixe os binários, módulos e arquivos de configuração mais recentes e confira o guia!

Instalação:

Obtenha os binários, módulos e arquivos de configuração mais recentes da versão mais recente. Alternativamente, clone o repositório e compile a partir do código-fonte.

Windows

Montar o sistema de arquivos requer a instalação da biblioteca de sistema de arquivos Dokany. Baixe e instale a versão mais recente do Dokany versão 2 em: https://github.com/dokan-dev/dokany/releases/latest

Para capturar memória ao vivo (sem hardware PCILeech FPGA), baixe o DumpIt e inicie o MemProcFS via modo DumpIt /LIVEKD. Alternativamente, obtenha o WinPMEM baixando o driver WinPMEM assinado mais recente e coloque-o junto ao MemProcFS - instruções detalhadas no Wiki do LeechCore.

O PCILeech FPGA exigirá hardware, bem como FTD3XXWU.dll colocada junto aos binários do MemProcFS. Consulte o projeto LeechCore para instruções.

Linux

O MemProcFS deve ser possível de executar prontamente na maioria das distribuições Linux com FUSE instalado. Se estiver compilando a partir do código-fonte, consulte o guia sobre MemProcFS no Linux.

macOS

Baixe a versão mais recente do MemProcFS aqui. O MemProcFS, quando usado como um sistema de arquivos virtual montado, depende do macFuse, que requer um .kext. Baixe e instale o macFuse aqui. Se o MemProcFS for usado por meio das APIs C/C++/Rust suportadas, o macFuse não é necessário.

Extensa API Python, Rust, Java, Go, C# e C/C++:

Inclua o MemProcFS em seus projetos de programação C/C++, C#, Java, Go (terceiros), Python ou Rust! Tudo no MemProcFS é exposto por meio de uma API fácil de usar para uso em seus próprios projetos! A arquitetura amigável a plugins permite que os usuários estendam facilmente o MemProcFS com plugins C/C++/Rust/Python!

Tudo no MemProcFS é exposto como APIs. Existem APIs para C/C++ vmmdll.h, C# pacote nuget, Java, Python pacote pip e Rust crate. O próprio sistema de arquivos é disponibilizado virtualmente por meio da API, sem a necessidade de montá-lo. É possível ler tanto a memória virtual de processos quanto a memória física! O exemplo abaixo mostra a leitura de 0x20 bytes do endereço físico 0x1000:

>>> import memprocfs
>>> vmm = memprocfs.Vmm(['-device', 'c:/temp/win10_memdump.raw'])
>>> print(vmm.hex( vmm.memory.read(0x1000, 0x20) ))
0000    e9 4d 06 00 01 00 00 00  01 00 00 00 3f 00 18 10   .M..........?...
0010    00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

O MemProcFS está disponível como um pacote pip do Python e é fácil de integrar em seus Jupyter Notebooks.

Exemplos:

Inicie o MemProcFS pela linha de comando - possivelmente usando um dos exemplos abaixo.

Ou registre a extensão do arquivo de despejo de memória com o MemProcFS.exe para que o sistema de arquivos seja montado automaticamente ao dar um duplo clique em um arquivo de despejo de memória!

• monte o arquivo de despejo de memória como M: padrão:
  memprocfs.exe -device c:\temp\win10x64-dump.raw
• monte o arquivo de despejo de memória como M: padrão com verbosidade extra:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -v
• monte o arquivo de despejo de memória como M: padrão e inicie o modo forense:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1
• monte o arquivo de despejo de memória como M: padrão e inicie o modo forense com uma varredura yara:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1 -forensic-yara-rules c:\yara\rules\windows_malware_index.yar
• monte o arquivo de despejo de memória como /home/pi/mnt/ no Linux:
  ./memprocfs -mount /home/pi/linux -device /dumps/win10x64-dump.raw
• monte o arquivo de despejo de memória como S::
  memprocfs.exe -mount s -device c:\temp\win10x64-dump.raw
• monte a memória do alvo ao vivo, em modo somente leitura, com o driver WinPMEM:
  memprocfs.exe -device pmem
• monte a memória do alvo ao vivo, em modo leitura/escrita, com o dispositivo de aquisição de memória PCILeech FPGA:
  memprocfs.exe -device fpga -memmap auto

Comunidade PCILeech e MemProcFS:

Acha tudo isso um pouco avassalador? Ou quer apenas fazer uma pergunta rápida? Junte-se ao servidor da comunidade DMA PCILeech e MemProcFS no Discord!

Compilação:

Os binários, módulos e arquivos de configuração pré-compilados são encontrados na versão mais recente.. Os binários do MemProcFS são compilados com Visual Studio 2022 e Ubuntu x64/AARCH64.

Instruções detalhadas de compilação podem ser encontradas no Wiki na seção Building.

Licença:

O código-fonte do projeto é lançado sob: GNU Affero General Public License v3.0. Algumas dependências e plugins incluídos são lançados sob GPLv3. Alguns binários redistribuíveis da Microsoft incluídos são lançados sob licenças separadas. Licenciamento alternativo pode ser possível mediante solicitação.

Contribuindo:

PCILeech, MemProcFS e LeechCore são open source, mas não aceitam contribuições abertas. PCILeech, MemProcFS e LeechCore oferecem uma arquitetura de plugins altamente flexível que permitirá contribuições na forma de plugins. Se você deseja fazer uma contribuição, que não seja um plugin, aos projetos principais, entre em contato comigo antes de começar a desenvolver.

Links:

• Twitter:
• Discord:
• PCILeech: https://github.com/ufrisk/pcileech
• PCILeech FPGA: https://github.com/ufrisk/pcileech-fpga
• LeechCore: https://github.com/ufrisk/LeechCore
• MemProcFS: https://github.com/ufrisk/MemProcFS
• Blog: http://blog.frizk.net

Links - Projetos Relacionados:

• MemProcFS-Analyzer é um aplicativo PowerShell de terceiros usado para simplificar o uso do MemProcFS e otimizar seu fluxo de trabalho de análise de memória. O MemProcFS-Analyzer é mantido por @evild3ad na LETHAL-FORENSICS.

Changelog:

v5.16

• Correções de bugs.
• Suporte para Windows 11 25H2

v5.17

• Suporte para Windows 11 26H1.
• Análise de registro melhorada.
• Novas opções de atualização na API.
• Novo callback de log opcional na API.
• Suporte para caracteres não ascii em caminhos de arquivo.

v5.18

• Correções de bugs.
• Novo módulo: analisador de Windows Terminal (Win11+).
• Novo módulo forense: analisador amcache (Win10+).
• Limite superior do mapa PTE ajustado de 65536 para 131072.
• Correção: Gravações de arquivos no MemProcFS montado em WSL (drvfs) agora funcionam.

Última versão:

• Correções de bugs.
• Correção: A recuperação de heap agora funciona no Windows 11 24H2 e posterior.
• Correção: Análise de Pool e Heap melhorada.
• Correção: Taxas de recuperação de memória compactada melhoradas.
• Novo módulo: /sys/eventlog (recuperação de log de eventos do Windows).