Awesome GitHub RepositoriesProcess Callstack Analysis

MemProcFS est un outil d'analyse de mémoire volatile et un système d'acquisition de mémoire multiplateforme. Il fonctionne comme un système de fichiers virtuel de forensique mémoire, mappant la mémoire physique et les objets du noyau dans une structure de répertoire virtuelle qui permet aux utilisateurs d'analyser les artefacts système en utilisant des outils de système de fichiers standard. Le projet se distingue en fournissant un système de fichiers virtuel pour la forensique mémoire, permettant de parcourir et d'interroger la mémoire physique comme des fichiers et dossiers en lecture seule. Il intègre également un scanner de mémoire basé sur Yara pour identifier les signatures de logiciels malveillants et le code injecté au sein de la mémoire physique. Le moteur couvre un large éventail de capacités forensiques, incluant l'inspection des processus et des threads, la liste des connexions réseau et l'analyse du registre Windows. Il prend en charge l'ingestion de données à partir de systèmes en direct, de crash dumps et de machines virtuelles, tout en fournissant une résolution de symboles pour traduire les adresses mémoire brutes en noms significatifs. L'intégration est prise en charge via une interface programmatique multi-langage et des wrappers de bibliothèque native pour C et Java, ainsi qu'un scripting Python headless pour les workflows automatisés.

pe-sieve is a set of diagnostic tools for scanning Windows process memory to identify malicious implants, shellcode, and hooks. It functions as an in-memory implant detector, malware unpacker, and process callstack analyzer designed to locate and dump memory patches and injected code from running processes. The project identifies advanced evasion techniques, such as process hollowing and reflective injection, by verifying portable executable structures in memory. It distinguishes itself by analyzing process callstacks to detect anomalies and redirections and by reconstructing executable heade