Компания «Белкасофт» выпустила инструмент, позволяющий криминалистам снимать образ областей оперативной памяти компьютеров, защищённых активными системами противодействия отладке.

Работа в привилегированном режиме позволяет программе обходить защиту, устанавливаемую активными системами противодействия отладке. В результате Belkasoft RAM Capturer способен получать точный слепок областей оперативной памяти, которые остаются недоступными для аналогичных программ, работающих в пользовательском режиме.

Образ памяти, полученный с помощью Belkasoft RAM Capturer, может быть проанализирован криминалистическим продуктом компании Belkasoft Evidence Center с помощью функции Live RAM Analysis. Исследование образа оперативной памяти компьютера позволяет криминалистам обнаруживать данные, не попадающие на жёсткий диск, такие как чаты, общение в социальных сетях и переговоры в онлайновых многопользовательских играх.

Многие программы, включая популярные многопользовательские игры, а также вредоносное ПО защищают свои процессы от исследования с помощью отладочных инструментов. В таких программах используются активные системы противодействия отладке, способные обнаружить и тем или иным образом предотвратить попытку других программ считать данные из областей памяти, занимаемых защищёнными процессами. В лучшем случае попытка использования отладчика не удаётся — вместо интересующей исследователя информации в защищённой области обнаруживаются нули или случайные данные. В худшем случае происходит зависание компьютера, делающее дальнейшее исследование невозможным.

Для предотвращения подобного развития событий необходимо использование инструментария, работающего в привилегированном режиме ядра операционной системы. В поставку Belkasoft RAM Capturer входят 32- и 64-разрядные версии драйверов, работающих в режиме ядра и позволяющих корректно обрабатывать области данных, принадлежащие защищённым процессам.

Эксперты «Белкасофт» провели тестирование популярных продуктов для снятия образов памяти. Были опробованы программы AccessData FTK Imager 3.0.0.1443, PMDump 1.2 и собственный продукт компании — Belkasoft RAM Capturer.

Для тестирования была выбрана защищённая игра Karos. В процессе тестирования запускалась игра Карос, производилась переписка с использованием внутреннего чата игры. Затем с использованием одного из инструментов, не выходя из игры, производилась попытка снятия образа памяти.

В результате тестирования обнаружилось, что AccessData FTK Imager 3.0.0.1443 вместо осмысленных данных выдал нули, а PMDump 1.2 не смог считать область памяти, занимаемую защищённым процессом. Belkasoft RAM Capturer оказался единственным инструментом, выдавшим корректный и точный образ данных защищённого процесса.

Belkasoft RAM Capturer совместим со всеми 32- и 64-разрядными версиями Windows включая Windows XP, Windows Vista, Windows 7 и 8, 2003 и 2008 Server. Программа не требует установки и может быть запущена с внешнего флеш-накопителя.

Belkasoft RAM Capturer распространяется бесплатно.