gmh5225/minidumpreaderРазбирает файлы Windows MiniDump (MDMP) с помощью Kaitai Struct, извлекая строки из памяти и проверяя их по правилам YARA для криминалистического анализа и триажа вредоносного ПО.
miniDumpReader — это средство чтения Windows MiniDump (MDMP), использующее Kaitai Struct (https://kaitai.io) для разбора дампов памяти Windows.
python3 -m pip install kataistruct
──(parallels㉿kali-linux)-[~/Tools/miniDumpReader]
└─$ python3 dmpStruct.py -h
usage: dmpStruct.py [-h] [-f FILE] [-X] [-y YARA]
[*] Usage: dmpStruct.py -f <*.dmp>
options:
-h, --help show this help message and exit
-f FILE, --file FILE Provide a DMP file (minidump)
-X, --hex Writing data in hex into memoryStrings.txt
-y YARA, --yara YARA Yara rule(s) directory or file.
Результаты автоматически сохраняются в memoryStrings.txt
# Scan DMP with Yara
python3 dmpStruct.py -f /home/parallels/Tools/miniDumpReader/rev_http.dmp -y /home/parallels/Tools/miniDumpReader/Yara/rules
# Writing Hex strings to memoryStrings.txt
python3 dmpStruct.py -f /home/parallels/Tools/miniDumpReader/rev_http.dmp -y /home/parallels/Tools/miniDumpReader/Yara/rules -X
python3 dmpStruct.py -f /home/parallels/Tools/miniDumpReader/rev_http.dmp -X
