Awesome GitHub RepositoriesMemory Forensics

This project is a security tool installation framework and binary analysis toolkit designed to automate the deployment of research utilities. It provides a containerized security research environment and a system for managing Python and Ruby virtual environments to prevent dependency conflicts on the host machine. The framework distinguishes itself through a structured tool catalog and provisioning scripts that automate the installation of utilities into isolated directories. It utilizes executable symlink mapping to provide a unified command interface and supports the bootstrapping of consis

Volatility is a memory forensics framework and digital forensics tool designed to extract and analyze evidence from volatile computer memory dumps. It functions as a memory dump parser and analysis platform used to identify running processes, network connections, and loaded modules from a system RAM capture. The framework enables the reconstruction of system state to uncover malicious activity, such as rootkits and injected code, during malware incident response and threat hunting. It provides capabilities for digital forensic investigations to detect unauthorized access and indicators of com

pcileech is a toolkit for executing DMA attacks, analyzing PCIe bus traffic, performing kernel patching, and conducting remote volatile memory forensics. It functions as a hardware memory acquisition tool and a PCIe DMA attack framework designed to read and write remote system memory via direct hardware interfaces. The project provides capabilities for capturing and displaying raw transaction layer packets from the PCIe bus and mounting live RAM as local drives for analysis. It enables the modification of system memory signatures and the execution of shellcode or implants within the kernel wi

frida-dexdump is an Android memory forensics tool that recovers Dalvik Executable (DEX) files from running application processes using the Frida dynamic instrumentation framework. It functions as a Frida-based runtime analyzer and DEX memory dumper, capable of extracting obfuscated or packed DEX files without modifying the Android system. The tool distinguishes itself through its ability to repair corrupted or missing DEX file headers using heuristic analysis and fuzzy matching techniques. It employs fuzzy boundary detection to identify DEX file boundaries in memory even when headers are dama

Acest proiect este o colecție curatoriată de instrumente, scripturi și ghiduri tehnice concepute pentru a îmbunătăți operațiunile de securitate ofensivă folosind Cobalt Strike. Servește drept hub de resurse pentru gestionarea infrastructurii de comandă și control și deployarea angajamentelor de securitate. Colecția include toolkit-uri pentru evitarea sistemelor de detecție și răspuns la endpoint-uri (EDR), alături de biblioteci pentru automatizarea sarcinilor de red team, cum ar fi recunoașterea și enumerarea host-urilor. Oferă resurse pentru dezvoltarea de framework-uri de post-exploatare, concentrându-se în mod specific pe crearea de biblioteci reflexive și cod rezident în memorie. Repository-ul acoperă o gamă largă de capabilități operaționale, inclusiv personalizarea traficului de rețea pentru a evita detecția, criminalistica memoriei pentru analiza infrastructurii și diverse tehnici de obfuscare a shellcode-ului. Include, de asemenea, ghiduri pentru configurarea serverelor de comandă și control și efectuarea injectării în procesele host.

MemProcFS este un instrument de analiză a memoriei volatile și un sistem de achiziție a memoriei cross-platform. Acesta funcționează ca un sistem de fișiere virtual pentru criminalistica memoriei, mapând memoria fizică și obiectele kernel-ului într-o structură de directoare virtuală care permite utilizatorilor să analizeze artefactele sistemului folosind instrumente standard de sistem de fișiere. Proiectul se distinge prin furnizarea unui sistem de fișiere virtual pentru criminalistica memoriei, permițând navigarea și interogarea memoriei fizice ca fișiere și foldere read-only. De asemenea, încorporează un scaner de memorie bazat pe Yara pentru a identifica semnăturile malware și codul injectat în memoria fizică. Motorul acoperă o gamă largă de capabilități criminalistice, inclusiv inspecția proceselor și thread-urilor, listarea conexiunilor de rețea și analiza registry-ului Windows. Suportă ingestia de date din sisteme live, crash dump-uri și mașini virtuale, oferind în același timp rezoluția simbolurilor pentru a traduce adresele brute de memorie în nume semnificative. Integrarea este suportată printr-o interfață programatică multi-limbaj și wrappere de biblioteci native pentru C și Java, precum și scripting Python headless pentru fluxuri de lucru automatizate.

Volatility3 este un framework de criminalistică a memoriei și un instrument de analiză utilizat pentru a parsa dump-urile de memorie volatilă. Extrage artefacte digitale și reconstruiește starea de runtime a unui sistem pentru a recupera informații despre procese, artefacte de rețea și alte dovezi criminalistice. Sistemul funcționează ca un motor criminalistic bazat pe plugin-uri și un resolver de simboluri pentru sistemul de operare. Acesta mapează adresele de memorie brute pe structuri de sistem cunoscute folosind tabele de simboluri și straturi de traducere, și oferă o arhitectură extensibilă pentru crearea de scanere și randatoare personalizate. Framework-ul include un explorator de memorie în linie de comandă pentru descoperirea datelor în timp real și o interfață programabilă pentru automatizarea generării rapoartelor de memorie. Gestionează extragerea artefactelor digitale și rezolvarea simbolurilor de sistem printr-un proces de traducere a adreselor bazat pe straturi.

MimiPenguin este un instrument Linux de extracție a credențialelor din memorie și recuperare a parolelor, conceput pentru a izola și recupera parolele de autentificare ale utilizatorilor în text clar din memoria proceselor active. Funcționează ca un utilitar post-exploatare pentru extragerea credențialelor sensibile din sesiunile utilizatorilor desktop în timpul evaluărilor de securitate. Instrumentul efectuează criminalistică a memoriei Linux prin analizarea memoriei proceselor de sistem pentru a identifica și izola credențialele. Este utilizat pentru testarea de penetrare a securității și evaluarea riscurilor asociate atacurilor bazate pe memorie, precum și pentru testarea escaladării privilegiilor locale. Sistemul vizează memoria sesiunii utilizatorului prin dump-ul memoriei virtuale a proceselor care rulează. Utilizează scanarea memoriei bazată pe tipare, identificarea euristică a parolelor și izolarea credențialelor în text clar pentru a distinge parolele potențiale de datele binare.

Loki is an endpoint detection tool, forensic artifact analyzer, and threat intelligence scanner. It functions as a YARA-based indicator of compromise scanner designed to identify malicious persistence mechanisms, web shells, and unauthorized administration tools across local and remote systems. The project distinguishes itself by integrating multi-source threat intelligence, allowing for the loading of custom signature sets and encrypted indicators. It combines hash-based artifact detection with YARA rule execution to scan files, process memory, and registry hives for known malicious byte seq

Velociraptor is a digital forensics and incident response platform, endpoint detection and response system, and visibility tool. It provides a query engine and remote forensic collector used to hunt for indicators of compromise and perform triage across a fleet of hosts. The system is distinguished by its specialized query language for interrogating host state and parsing binary files. It features a notebook environment that combines markdown documentation with executable query cells to standardize investigative workflows and enable collaborative reporting. The platform covers a wide range o

pe-sieve is a set of diagnostic tools for scanning Windows process memory to identify malicious implants, shellcode, and hooks. It functions as an in-memory implant detector, malware unpacker, and process callstack analyzer designed to locate and dump memory patches and injected code from running processes. The project identifies advanced evasion techniques, such as process hollowing and reflective injection, by verifying portable executable structures in memory. It distinguishes itself by analyzing process callstacks to detect anomalies and redirections and by reconstructing executable heade

Chainsaw is a Windows forensic analysis tool used for parsing system databases and extracting security artefacts. It functions as a forensic artefact extractor and a scanner for identifying security threats and log tampering within Windows event logs. The project distinguishes itself by implementing a Sigma rule forensic scanner that applies standardized detection logic and custom rule sets to event logs and forensic artefacts. It enables threat hunting workflows by matching event data against patterns to identify malicious activity, lateral movement, and brute force attacks. The tool's capa

ipsw is a specialized toolkit for iOS firmware analysis, binary reverse engineering, and hardware interaction. It provides a suite of tools for downloading, extracting, and analyzing firmware images and kernel caches, alongside a MachO binary analysis tool for disassembling and patching executables. The project distinguishes itself through integrated language-model-powered code reconstruction to translate machine code into high-level source code. It also features an automation client for the App Store Connect API to manage certificates and application settings. The framework covers a broad r

Maskphish is a comprehensive security toolkit that integrates capabilities for digital forensics, network vulnerability scanning, open-source intelligence, penetration testing, and social engineering. It functions as a multi-purpose framework for automating reconnaissance and executing security audits across diverse network environments. The project features a specialized phishing and social engineering toolkit used for cloning websites, masking URLs, and deploying deceptive pages to capture user credentials. It also includes a remote access Trojan builder for generating platform-specific exe