Memory dump analysis
RootedCON ist das relevanteste Cybersicherheitsereignis in Spanien und eines der wichtigsten in Europa. Mit der Mission, technisches Wissen zu fördern, ist dieser Kongress ein brodelnder Treffpunkt für Technologie- und Cybersicherheitsfachleute in jeder Disziplin.
Start
Beginnen Sie mit der Suche nach Malware innerhalb des PCAP. Verwenden Sie die in der Malware-Analyse erwähnten Tools.
Volatility ist das wichtigste Open-Source-Framework für die Analyse von Speicherabbildern. Dieses Python-Tool analysiert Dump-Dateien aus externen Quellen oder VMware-VMs und identifiziert Daten wie Prozesse und Passwörter basierend auf dem OS-Profil des Dumps. Es ist mit Plugins erweiterbar, was es für forensische Untersuchungen äußerst vielseitig macht.
Hier finden Sie ein Spickzettel
Mini-Dump-Crashbericht
Wenn der Dump klein ist (nur einige KB, vielleicht ein paar MB), handelt es sich wahrscheinlich um einen Mini-Dump-Crashbericht und nicht um ein Speicherabbild.
Wenn Sie Visual Studio installiert haben, können Sie diese Datei öffnen und einige grundlegende Informationen wie Prozessname, Architektur, Ausnahmeinformationen und ausgeführte Module binden:
Sie können auch die Ausnahme laden und die dekompilierten Anweisungen anzeigen
Wie auch immer, Visual Studio ist nicht das beste Tool, um eine Analyse der Tiefe des Dumps durchzuführen.
Sie sollten es mit IDA oder Radare öffnen, um es in Tiefe zu inspizieren.
RootedCON ist das relevanteste Cybersicherheitsereignis in Spanien und eines der wichtigsten in Europa. Mit der Mission, technisches Wissen zu fördern, ist dieser Kongress ein brodelnder Treffpunkt für Technologie- und Cybersicherheitsfachleute in jeder Disziplin.
Last updated
