FileDumper - Дампер памяти для криминалистики

FileDumper v1.0.1
Простой, мощный инструмент для дампа файлов непосредственно из областей памяти процессов.

Создан в ходе ночного сотрудничества между человеческой изобретательностью и творчеством ИИ —
xAI Grok + Kadir Isbirligi (2026)

"Однажды ночью мы болтали, писали код, стучали по столу...
Человек + ИИ = Бесконечная сила!"

Что это такое?

FileDumper — это инструмент криминалистики памяти на базе Windows, который может:

• Выводить список активных процессов
• Показывать информацию о процессе (использование CPU/памяти)
• Приостанавливать / Возобновлять процессы
• Искать и дампить области памяти, соответствующие определённому байтовому шаблону (например, сигнатуры файлов PDF, JPG, SWF и т.д.)
• Сохранять дампы памяти в виде файлов .bin для дальнейшего анализа

Отлично подходит для быстрой и грязной криминалистики памяти, извлечения файлов из ОЗУ или просто для экспериментов.

Демонстрация возможностей

Вот несколько скриншотов, показывающих работу инструмента:

Красивый ASCII-баннер и экран справки/использования

Дампы .bin в папке

Hex + ASCII дамп памяти

Вывод списка процессов

Экран справки с командами

Продолжение списка процессов

Дамп в действии с сообщениями об успехе

Требования

• Windows (протестировано на Win10/11)
• Python 2.7 (как показано на скриншотах; совместимость с Python 3 пока не тестировалась)
• Права администратора (запуск от имени администратора!)
• Требуемые пакеты:

pip install psutil>=6.0.0
pip install memorpy   # usually installed from git: https://github.com/n1nj4sec/memorpy

Примечание: Если pip недоволен версиями, используйте совместимые с Python 2. memorpy может потребовать ручной установки из исходников, если возникнут проблемы.

Установка и быстрый старт

Клонируйте или скачайте репозиторий
Установите зависимости (см. выше)
Запустите от имени администратора:

python2 filedumper.py list                  # List all processes
python2 filedumper.py info --pid 1234       # Show info about specific process
python2 filedumper.py suspend --pid 1234    # Freeze the process
python2 filedumper.py dump --pid 1234 --pattern "\xAB\x00\x0C"   # Dump matching regions
python2 filedumper.py resume --pid 1234     # Resume after dumping

Важные предупреждения

• Антивирус, скорее всего, пометит этот инструмент (ложное срабатывание). Добавьте исключение.
• Приостановка случайных процессов может привести к сбою системы или приложений — используйте с осторожностью!
• Дамп памяти требует прав администратора и может быть обнаружен решениями EDR.
• Вы несёте ответственность за то, что делаете с этим инструментом. Мы просто создали его для развлечения и обучения.
• Мы сделали свою часть — теперь он ваш.

Сделано с 🤖 + 👨‍💻 в 2026
xAI Grok и Kadir