Awesome GitHub RepositoriesDigital Forensics

Ghidra is a software reverse engineering suite designed to analyze compiled binaries and reconstruct program logic without access to original source code. It provides an interactive environment for disassembly and decompilation, utilizing a platform-independent intermediate representation to maintain consistency across diverse hardware architectures. The framework supports automated binary analysis through programmatic routines, enabling the investigation of complex code patterns and security indicators. The platform distinguishes itself through a modular architecture that allows for extensiv

ripgrep is a command-line utility designed for searching through large file trees and source code repositories. It functions as a recursive text processor that traverses directories to locate and display matching patterns, serving as a high-performance alternative to traditional search tools. The tool distinguishes itself through a focus on execution speed and intelligent file handling. It utilizes a finite automata-based regular expression engine to ensure linear time complexity and employs hardware-level acceleration for literal byte sequence scanning. By integrating with version control sy

Maigret is an open-source intelligence framework designed for automated digital footprint discovery and identity investigation. It functions as a search engine that aggregates profile metadata by querying thousands of websites for specific usernames, mapping an individual's online presence across diverse platforms. The tool distinguishes itself through recursive discovery capabilities, which identify links within discovered profiles to expand the scope of an investigation automatically. It supports cross-platform identity correlation by mapping disparate accounts and pseudonymous personas, in

Osquery is a unified endpoint monitoring framework that exposes operating system internals as relational tables. By representing hardware, network, and process activity as structured data, it allows users to retrieve system state and configuration information using standard SQL syntax. The system distinguishes itself through a cross-platform abstraction layer that normalizes disparate operating system interfaces into a consistent schema across Windows, macOS, and Linux. It supports both interactive local analysis via a command-line shell and distributed fleet orchestration, where recurring qu

Flare-VM ist eine Windows-Umgebung zur Malware-Analyse, die aus Installationsskripten besteht, welche die Bereitstellung einer virtuellen Maschine automatisieren. Sie bietet eine umfassende Suite an Reverse-Engineering-Werkzeugen, einschließlich Decompiler und Debugger, zusammen mit den notwendigen Systemkonfigurationen und Umgebungsvariablen für die Sicherheitsforschung. Das Projekt fungiert als Orchestrator für Images virtueller Maschinen und ermöglicht die automatisierte Erstellung, Verwaltung und den Export spezialisierter Analyse-Appliances. Es bietet eine konfigurationsgesteuerte Werkzeugauswahl und die Möglichkeit, die Installationslogik durch benutzerdefinierte Registry-Modifikationen und Systemlayout-Definitionen zu erweitern. Das System umfasst Funktionen für eine isolierte Netzwerkkonfiguration, um die externe Kommunikation über den Host-Only-Modus zu verhindern. Es verwaltet zudem den gesamten Lebenszyklus von Analyseständen durch Snapshot-basiertes Zustandsmanagement, einschließlich der Möglichkeit, Snapshots als verifizierte Appliance-Dateien zu bereinigen oder zu exportieren.

Volatility is a memory forensics framework and digital forensics tool designed to extract and analyze evidence from volatile computer memory dumps. It functions as a memory dump parser and analysis platform used to identify running processes, network connections, and loaded modules from a system RAM capture. The framework enables the reconstruction of system state to uncover malicious activity, such as rootkits and injected code, during malware incident response and threat hunting. It provides capabilities for digital forensic investigations to detect unauthorized access and indicators of com

capa is a binary capability scanner that identifies high-level behaviors and actions an executable can perform, such as network communication or file manipulation. It functions as a malware behavior analysis tool and a MITRE ATT&CK mapping framework, scanning PE, ELF, .NET, and shellcode files through both static analysis and dynamic sandbox report processing. The tool distinguishes itself through a YAML-based detection rule engine that defines detection logic in human-readable files, with conditions expressed as feature combinations and logical operators. It integrates with IDA Pro, Ghidra,

GRR ist eine verteilte Incident-Response-Plattform und ein Orchestrator für asynchrone forensische Aufgaben. Es fungiert als Remote-Forensik-Framework, das entwickelt wurde, um flüchtige Daten, Systemspeicher und digitale Artefakte von Remote-Hosts während der Reaktion auf Sicherheitsvorfälle zu sammeln und zu analysieren. Das System arbeitet als Remote-Endpoint-Triage-System und nutzt eine koordinierte Architektur zur Verwaltung einer Flotte von Agenten. Es ermöglicht die Ausführung investigativer Aufgaben über mehrere Systeme hinweg und erlaubt die Suche nach Dateien und Registrierungseinträgen über eine große Flotte von Maschinen, um kompromittierte Hosts zu identifizieren. Die Plattform bietet Funktionen für die digitale forensische Analyse, einschließlich der Fähigkeit, Rohdateisysteme zu analysieren und chronologische Systemereignis-Zeitlinien zu generieren. Sie enthält zudem Tools für das Flotten-Monitoring im Unternehmen, um die Ressourcennutzung zu verfolgen und wiederkehrende forensische Aufgaben zu planen.

Volatility3 ist ein Framework für Speicherforensik und ein Analysetool, das zum Parsen von flüchtigen Speicher-Dumps verwendet wird. Es extrahiert digitale Artefakte und rekonstruiert den Laufzeitzustand eines Systems, um Prozessinformationen, Netzwerk-Artefakte und andere forensische Beweise wiederherzustellen. Das System fungiert als Plugin-basiertes forensisches Engine und als Symbol-Resolver für Betriebssysteme. Es bildet rohe Speicheradressen auf bekannte Systemstrukturen unter Verwendung von Symboltabellen und Übersetzungsschichten ab und bietet eine erweiterbare Architektur für die Erstellung benutzerdefinierter Scanner und Renderer. Das Framework enthält einen Kommandozeilen-Speicherexplorer für die Echtzeit-Datenerkennung und eine programmierbare Schnittstelle zur Automatisierung der Erstellung von Speicherberichten. Es handhabt die Extraktion digitaler Artefakte und die Auflösung von System-Symbolen durch einen schichtbasierten Adressübersetzungsprozess.

MemProcFS ist ein Tool zur Analyse volatiler Speicher und ein plattformübergreifendes Speicherakquisitionssystem. Es fungiert als virtuelles Dateisystem für Speicherforensik, das physischen Speicher und Kernel-Objekte in eine virtuelle Verzeichnisstruktur mappt, die es Benutzern ermöglicht, Systemartefakte mit Standard-Dateisystem-Tools zu analysieren. Das Projekt zeichnet sich dadurch aus, dass es ein virtuelles Dateisystem für Speicherforensik bereitstellt, das das Durchsuchen und Abfragen von physischem Speicher als schreibgeschützte Dateien und Ordner ermöglicht. Es integriert zudem einen Yara-basierten Speicher-Scanner, um Malware-Signaturen und injizierten Code innerhalb des physischen Speichers zu identifizieren. Die Engine deckt ein breites Spektrum forensischer Funktionen ab, einschließlich Prozess- und Thread-Inspektion, Auflistung von Netzwerkverbindungen und Windows-Registry-Analyse. Sie unterstützt die Datenaufnahme von Live-Systemen, Crash-Dumps und virtuellen Maschinen, während sie Symbolauflösung bietet, um rohe Speicheradressen in aussagekräftige Namen zu übersetzen. Die Integration wird durch ein mehrsprachiges programmatisches Interface und native Library-Wrapper für C und Java sowie Headless-Python-Scripting für automatisierte Workflows unterstützt.

Pafish ist ein Anti-Analyse-Sandbox-Detektor und ein Test-Tool für Virtualisierungsumgebungen. Es dient als diagnostisches Dienstprogramm, um zu identifizieren, ob ein System innerhalb einer virtuellen Maschine oder einer Malware-Analyse-Sandbox ausgeführt wird, indem gängige Anti-Analyse-Techniken angewendet werden. Das Tool validiert die Wirksamkeit verschiedener Evasionsmethoden und unterstützt die Forschung zur Sandbox-Erkennung. Es testet, ob ein Zielsystem als virtualisierte Umgebung erkannt werden kann, um die Tarnung von Malware-Analyseumgebungen zu verbessern. Die Erkennung erfolgt durch eine Vielzahl von Verhaltensprüfungen, einschließlich Hardware-Artefaktanalyse, MAC-Adressfilterung und Registry-Key-Fingerprinting. Die Suite verwendet zudem instruktionsbasierte Erkennung, zeitbasierte Ausführungsanalyse und prozessbasiertes Umgebungs-Scanning, um Indikatoren für Virtualisierung zu identifizieren.

Velociraptor is a digital forensics and incident response platform, endpoint detection and response system, and visibility tool. It provides a query engine and remote forensic collector used to hunt for indicators of compromise and perform triage across a fleet of hosts. The system is distinguished by its specialized query language for interrogating host state and parsing binary files. It features a notebook environment that combines markdown documentation with executable query cells to standardize investigative workflows and enable collaborative reporting. The platform covers a wide range o

pe-sieve is a set of diagnostic tools for scanning Windows process memory to identify malicious implants, shellcode, and hooks. It functions as an in-memory implant detector, malware unpacker, and process callstack analyzer designed to locate and dump memory patches and injected code from running processes. The project identifies advanced evasion techniques, such as process hollowing and reflective injection, by verifying portable executable structures in memory. It distinguishes itself by analyzing process callstacks to detect anomalies and redirections and by reconstructing executable heade

Simple (relatively) solutions allowing you to dig a bit deeper than usual.

Chainsaw is a Windows forensic analysis tool used for parsing system databases and extracting security artefacts. It functions as a forensic artefact extractor and a scanner for identifying security threats and log tampering within Windows event logs. The project distinguishes itself by implementing a Sigma rule forensic scanner that applies standardized detection logic and custom rule sets to event logs and forensic artefacts. It enables threat hunting workflows by matching event data against patterns to identify malicious activity, lateral movement, and brute force attacks. The tool's capa

Collaborative forensic timeline analysis

An open-source digital image forensic toolset

The Sleuth Kit® (TSK) is a library and collection of command line digital forensics tools that allow you to investigate volume and file system data. The library can be incorporated into larger digital forensics tools and the command line tools can be directly used to find evidence.

LogonTracer is a security auditing tool designed for logon analysis and forensic log auditing. It functions as a dockerized security auditor that utilizes a security event graph database to map account names and network addresses, allowing for the visualization of complex system compromise patterns and authentication paths. The system features a Sigma detection engine that scans imported event logs against standardized rule sets to identify known malicious activity. It also includes an anomalous behavior detector that applies statistical analysis, graph algorithms, and hidden Markov models to

Hayabusa is a Windows event log analyzer, threat hunting tool, and forensic timeline generator. It functions as a detection engine that applies threat patterns to logs to identify suspicious behavior and security threats. The project distinguishes itself through the ability to synchronize detection rules from remote repositories and tune risk levels to prioritize critical alerts. It also provides specialized forensic capabilities, such as extracting event log data into chronological records for incident response investigations. The tool's broader capabilities include security log enrichment