Компания «Белкасофт» выпускает инструмент, позволяющий криминалистам снимать образ областей оперативной памяти компьютеров, защищённых активными системами противодействия отладке. Бесплатная программа Belkasoft RAM Capturer поставляется в комплекте с 32- и 64-разрядными драйверами, работающими в режиме ядра операционной системы.
Работа в привилегированном режиме позволяет программе обходить защиту, устанавливаемую активными системами противодействия отладке. В результате Belkasoft RAM Capturer способен получать точный слепок областей оперативной памяти, которые остаются недоступными для аналогичных программ, работающих в пользовательском режиме.
Образ памяти, полученный с помощью Belkasoft RAM Capturer, может быть проанализирован криминалистическим продуктом компании Belkasoft Evidence Center с помощью функции Live RAM Analysis. Исследование образа оперативной памяти компьютера позволяет криминалистам обнаруживать данные, не попадающие на жёсткий диск, такие как чаты, общение в социальных сетях и переговоры в онлайновых многопользовательских играх.
Снятие слепков оперативной памяти защищённых процессов
Многие программы, включая популярные многопользовательские игры, а также вредоносное ПО защищают свои процессы от исследования с помощью отладочных инструментов. В таких программах используются активные системы противодействия отладке, способные обнаружить и тем или иным образом предотвратить попытку других программ считать данные из областей памяти, занимаемых защищёнными процессами. В лучшем случае попытка использования отладчика не удаётся – вместо интересующей исследователя информации в защищённой области обнаруживаются нули или случайные данные. В худшем случае происходит зависание компьютера, делающее дальнейшее исследование невозможным.
Для предотвращения подобного развития событий необходимо использование инструментария, работающего в привилегированном режиме ядра операционной системы. В поставку Belkasoft RAM Capturer входят 32- и 64-разрядные версии драйверов, работающих в режиме ядра и позволяющих корректно обрабатывать области данных, принадлежащие защищённым процессам.
Сравнение с аналогами
Эксперты «Белкасофт» провели тестирование популярных продуктов для снятия образов памяти. Были опробованы программы AccessData FTK Imager 3.0.0.1443, PMDump 1.2 и собственный продукт компании – Belkasoft RAM Capturer.
Для тестирования была выбрана защищённая игра Karos. В процессе тестирования запускалась игра Карос, производилась переписка с использованием внутреннего чата игры. Затем с использованием одного из инструментов, не выходя из игры, производилась попытка снятия образа памяти.
В результате тестирования обнаружилось, что AccessData FTK Imager 3.0.0.1443 вместо осмысленных данных выдал нули, а PMDump 1.2 не смог считать область памяти, занимаемую защищённым процессом. Belkasoft RAM Capturer оказался единственным инструментом, выдавшим корректный и точный образ данных защищённого процесса.
Belkasoft RAM Capturer совместим со всеми 32- и 64-разрядными версиями Windows включая Windows XP, Windows Vista, Windows 7 и 8, 2003 и 2008 Server. Программа не требует установки и может быть запущена с внешнего флеш-накопителя. Belkasoft RAM Capturer распространяется бесплатно.
О компании «Белкасофт»
Компания «Белкасофт» – независимый разработчик криминалистического программного обеспечения и продуктов по IT безопасности. Компания зарегистрирована в 2010 году в Санкт-Петербурге. Продуктами компании пользуются такие клиенты, как СКРФ, МВД, ФСБ, ФСКН, Министерство Юстиции, а также спецслужбы других стран – ФБР, Секретная служба США, армия США, полицейские участки Америки, Европы, Австралии и Новой Зеландии, аудиторский дом PricewaterhouseCoopers, компания Ernst & Young и многие другие.
Линейка продуктов «Белкасофт» включает разнообразные редакции Belkasoft Evidence Center: Forensic IM Analyzer, Evidence Center Pro, Forensic Studio Ultimate, а также многопользовательскую версию Enterprise.
Решения компании пользуются заслуженной популярностью на мировом рынке. Заказчики компании – полицейские участки, спецслужбы и следственные органы множества государств. Среди российских клиентов «Белкасофт» такие учреждения, как СКРФ, МВД, ФСБ, ФСКН, Министерство Юстиции, множество бюджетных и коммерческих организаций.
Русскоязычный пользовательский интерфейс, центральный офис в Санкт-Петербурге и доступность технической поддержки на русском языке делают продукцию компании более привлекательной для российских клиентов в сравнении с аналогами от зарубежных производителей.
Дополнительная информация о компании доступна по ссылке http://ru.belkasoft.com/ru/
Информация о продукте: http://ru.belkasoft.com/ru/memory-dump
Скачать Belkasoft RAM Capturer по ссылке http://ru.belkasoft.com/ru/bfs/download.asp