Форензика: лучший toolkit для memory dump в 2026? Volatility 3 разочаровал

[magic123]

@maja33, не тупишь, vol3 для свежих сборок правда сырой по символам. Win11 24H2 ntoskrnl меняется чуть ли не каждый патч-вторник и готового ISF в кеше нет. Тащишь ntkrnlmp.pdb с msdl.microsoft.com по GUID из бинаря, гонишь через pdbconv.py, кладёшь в volatility3/symbols/windows. Минут 15 возни и плагины оживают. Так что это не ты, это инфраструктура символов отстаёт.

[cudaguru]

@madem, ну смотря что разбираем. Для CTF согласен, strings и bulk_extractor закрывают процентов 80, флаг частенько лежит в куче открытым текстом. Но если у человека реальный инцидент с инжектом в процесс, грепом ты process hollowing не увидишь никогда, тут без волы или memprocfs вообще никак.

[maja33]

@Bowden, закрывать рано, ты процесс нашла а делал он что? memprocfs наглядный да, но триаж это не весь анализ. Сетевые коннекты, инжектнутые модули, ветки автозапуска в реестре глянула? А то нашла подозрительный svchost не на своём месте и успокоилась, а там полпрокси на C2 висит))

[sergeyserov]

memprocfs хорош для быстрого триажа, но он маунтит дамп ридонли и не все артефакты вытаскивает. Для нормального таймлайна всё равно plaso или вола нужны. Один инструмент весь инцидент не закроет, это вроде очевидно но каждый раз кто-то ищет серебряную пулю.