hasherezade/hollows_hunter
کاربرد:
این ابزار یک اسکنر قدرتمند برای فرآیندهای در حال اجرا در سیستم هست که به دنبال نفوذهای حافظه‌ای مثل فایل‌های اجرایی جایگزین شده (PE)، شل‌کدها، هک‌های تابعی (hooks) و تغییرات درون حافظه می‌گرده. ️
هدف اصلی‌ش شناسایی و استخراج بارهای مخرب که در حافظه پنهان شدن و از دید آنتی‌ویروس‌ها مخفی موندن.
در چه شرایطی بهتره استفاده شود؟
وقتی که می‌خوای یک بررسی عمیق حافظه از سیستم انجام بدی، مخصوصاً در مواردی که فکر می‌کنی یه بدافزار به صورت فوق‌العاده پنهان (مانند process hollowing یا reflective loading) فعالیت داره.
همچنین برای تحلیل رفتاری در محیط‌های ایزوله (مثل لابراتوارهای امنیتی) یا پس از یک حادثه امنیتی (incident response) عالی کار می‌کنه.
چند مثال از موارد استفاده
شناسایی فرآیندهایی که حاوی فایل اجرایی جعلی درون خودشون دارن (مثلاً notepad.exe که در واقع یه بار مخرب هست).
کشف شل‌کدهای اجرا شده از طریق حافظه بدون وجود فایل روی دیسک.
تشخیص API hooking غیرمجاز که توسط بدافزارها برای دزدی داده یا مخفی کردن فعالیت استفاده می‌شه.
استفاده در کنار ابزارهای دیگه مثل Volatility برای تحلیل حافظه در پس‌ورد کردن حمله.
- ##MemoryForensics
- ##MalwareAnalysis
- ##HollowingDetection
- ##IncidentResponse
- ##RedTeaming
- ##BlueTeaming
- ##ReverseEngineering
- ##APT
- ##ProcessHollowing
- ##CyberSecurity