Forensic RAM dump image analyzer

Abstract

Pro získávání obrazů operační paměti počítače existují různé techniky, většina z nich ala poskytuje syrový obraz dat, který je obtížné analyzovat. Cílem téhle práce je vyvinout program pro automatickou analýzu obrazů paměti poskytující obsažené informace v uživatelsky přívětivé formě. Program by měl zjednodušit automatické dolování dat a předpokládaným uživatelem jsou forenzní znalci. Předpokládané technické schopnosti jsou podpora vícero architektur a operačních systémů, hádání cílové architektury a operačního systému, automatické získávání hesel a šifrovacích klíčů, vypsání seznamu procesů, modulů, ovladačů.

While different techniques are used for physical memory dumping, most of them provide a hard-to-analyse image of raw data. The aim of the work is to develop an automatic analyser of physical memory dumps retrieving contained information in a user-friendly form. The analyser is supposed to simplify automatic data extraction and should be used by forensic experts. Among expected features are multiple target architecture/OS support, target architecture/OS guessing, automated password/crypto keys collecting, process listing, and module/driver listing.