Нашел интересный проект - IntroVirt. Тулза позволяет исследовать адресное пространство (память) (VMI instrospection) запущенной виртуалки. Например винды, в которой запущена малварь или легитимное ПО для анализа. Так как у меня это будет крутиться на AMD процессоре, некоторые альтернативные тулзы отпадают. Проект состоит из пропатченного гипервизора KVM и библиотеки для парсинга памяти виртуалки. Мы будем получать live syscall trace. Цель - обойти некоторые техники анти-анализа ПО. На практике еще не пробовал, попробую отпишусь