Awesome GitHub RepositoriesMemory Analysis Tools

Volatility is a memory forensics framework and digital forensics tool designed to extract and analyze evidence from volatile computer memory dumps. It functions as a memory dump parser and analysis platform used to identify running processes, network connections, and loaded modules from a system RAM capture. The framework enables the reconstruction of system state to uncover malicious activity, such as rootkits and injected code, during malware incident response and threat hunting. It provides capabilities for digital forensic investigations to detect unauthorized access and indicators of com

MemProcFS هي أداة تحليل ذاكرة متطايرة ونظام الحصول على الذاكرة عبر الأنظمة الأساسية. تعمل كنظام ملفات افتراضي لطب الشرعي للذاكرة، حيث تقوم بتعيين الذاكرة الفعلية وكائنات النواة في هيكل دليل افتراضي يسمح للمستخدمين بتحليل آثار النظام باستخدام أدوات نظام الملفات القياسية. يتميز المشروع بتوفير نظام ملفات افتراضي لطب الشرعي للذاكرة، مما يتيح تصفح والاستعلام عن الذاكرة الفعلية كملفات ومجلدات للقراءة فقط. كما يدمج ماسح ذاكرة يعتمد على Yara لتحديد توقيعات البرامج الضارة والكود المحقون داخل الذاكرة الفعلية. يغطي المحرك مجموعة واسعة من إمكانيات الطب الشرعي، بما في ذلك فحص العمليات والخيوط، وإدراج اتصالات الشبكة، وتحليل سجل Windows. يدعم استيعاب البيانات من الأنظمة الحية، وتفريغ الأعطال، والأجهزة الافتراضية، مع توفير حل الرموز لترجمة عناوين الذاكرة الخام إلى أسماء ذات معنى. يتم دعم التكامل من خلال واجهة برمجية متعددة اللغات وأغلفة مكتبة أصلية لـ C و Java، بالإضافة إلى برمجة Python بدون رأس لسير العمل المؤتمت.

Volatility3 هو إطار عمل للطب الشرعي للذاكرة وأداة تحليل تستخدم لتحليل تفريغات الذاكرة المتطايرة. يستخرج الأدلة الرقمية ويعيد بناء حالة النظام في وقت التشغيل لاستعادة معلومات العمليات، وآثار الشبكة، وغيرها من الأدلة الجنائية. يعمل النظام كمحرك جنائي قائم على الإضافات (Plugins) ومحلل لرموز نظام التشغيل. يقوم بربط عناوين الذاكرة الخام بهياكل النظام المعروفة باستخدام جداول الرموز وطبقات الترجمة، ويوفر معمارية قابلة للتوسيع لإنشاء ماسحات ضوئية وعارضات مخصصة. يتضمن إطار العمل مستكشف ذاكرة عبر سطر الأوامر لاكتشاف البيانات في الوقت الفعلي وواجهة قابلة للبرمجة لأتمتة إنشاء تقارير الذاكرة. ويتعامل مع استخراج الأدلة الرقمية وحل رموز النظام من خلال عملية ترجمة عناوين قائمة على الطبقات.

LiME (formerly DMD) is a Loadable Kernel Module (LKM), which allows the acquisition of volatile memory from Linux and Linux-based devices, such as those powered by Android. The tool supports acquiring memory either to the file system of the device or over the network. LiME is unique in that it is the first tool that allows full memory captures from Android devices. It also minimizes its interaction between user and kernel space processes during acquisition, which allows it to produce memory captures that are more forensically sound than those of other tools designed for Linux memory acquisitio

AVML - Acquire Volatile Memory for Linux

Volatility plugin for extracts configuration data of known malware

inVtero.net: A high speed (Gbps) Forensics, Memory integrity & assurance. Includes offensive & defensive memory capabilities. Find/Extract processes, hypervisors (including nested) in memory dumps using microarchitechture independent Virtual Machiene Introspection techniques

VolatilityBot – An automated memory analyzer for malware samples and memory dumps

The Volatility Collaborative GUI

Web interface for the Volatility Memory Forensics Framework

VolDiff: Malware Memory Footprint Analysis based on Volatility