# Memoryze
## Введение
Memoryze - это средство анализа памяти.
Что мы можем получить, используя Memoryze:

* полный образ всего диапазона системной памяти (без использования API-вызовов), сохраненный в файл для дальнейшего анализа;
* дамп адресного пространства любого процесса, включая список загруженных DLL и EXE, кучу и стэк (этот дамп можно дальше исследовать в дизассемблере);
* образ всех загруженных драйверов или некоторых из них;
* полный список всех процессов, включая те, что спрятаны руткитами, причем для каждого процесса есть возможность определить все хэндлы (например, используемых файлов или ключей реестра), сетевые сокеты, импортируемые и экспортируемые функции и так далее;
* все строковые переменные, используемые процессами;
* полный список всех драйверов, в том числе те, которые маскируются малварью;
* перечень всех модулей ядра;
* перечисление всех установленных хуков (они часто используются малварью);
* и многое другое.

## Установка
К слову, Memoryze поддерживает только данные операционные системы
* Windows 2000 Service Pack 4 (32-bit);
* Windows XP Service Pack 2 and Service Pack 3 (32-bit);
* Windows Vista Service Pack 1 and Service Pack 2 (32-bit);
* Windows 2003 Service Pack 2 (32-bit);
* Windows 2003 Service Pack 2 (64-bit);
* Windows 7 Service Pack 0 (32-bit);
* Windows 7 Service Pack 0 (64-bit);
* Windows 2008 Service Pack 1 and Service Pack 2 (32-bit);
* Windows 2008 R2 Service Pack 0 (64-bit).

Ищем Mandiant's Memoryze, переходим на сайт Fireeye, заполняем нужные поля и скачиваем установочный файл.




После установки мы имеем несколько скриптов для выполнения в командной строке

* MemoryDD.bat для получения образа физической памяти
* ProcessDD.bat для получения образа адрессного пространства процесса
* DriverDD.bat для получения образа драйвера
* Process.bat для получения данных о процессе
* HookDetection.bat для поиска хуков
* DriverSearch.bat для поиска драйверов
* DriverWalkList.bat для перечисления всех модулей и драйверов в связанном списке

## Создаём образ памяти
Для создания дампа памяти нам необходимо воспользоваться командной строкой.
В директории программы присутствуют несколько скриптов.
Нам нужен MemoryDD.bat. Используем его.


После выполнения скрипта Memoryze создаёт xml-файлы результатов выполнения и образ памяти в папке Audits.


Например, в файле Issues.memory мы можем посмотреть ошибки, выведенные в процессе исполнения скрипта. Так как программа не поддерживает мою основную ОС Windows 10, я скачал её на виртуальную машину Windows 7 SP1. Скрипт вывел множество ошибок в процессе выполнения.


## Анализ дампа
Для анализа дампа нам нужно использовать какой-либо интерфейс. Например, Redline от той же компании Mandiant (FireEye).


Выбираем Analyze Data From a Saved Memory File.


В этом окне можно задать настройки анализа


Сначала я попытался запустить на виртуальной машине, но программа вошла в конфликт с Memoryze (т.к. они принадлежат FireEye?)


В итоге я перенёс образ из виртуальной машины в свою основную ОС и запустил анализ уже на ней.

В конечном счёте мы получаем такую таблицу



Мы можем просмотреть отдельно хуки, драйверы, порты и т.п.




## Другие скрипты

* Попробуем выполнить скрипт DriversSearch


Получаем информацию о драйверах на компьютере


* Скрипт HookDetection


Даёт информацию о хуках в системе