‏⭕️این ابزار که جهت شناسایی و بررسی RootKit ها توسعه داده شده است، با استفاده از درایور ابزار Winpmem که خود نیز قبل تر جزو ابزار Rekall بوده است(اگر Memory Forensics کار کرده باشید احتمالا باهاش آشنا هستید) و مدتی هست بصورت جداگانه توسعه داده شده، اقدام به بررسی موارد خوبی میکند.
یکی از ویژگی هایی که میتوان به آن اشاره کرد امکان متصل کردن به سرور GDB و بررسی فایل مسیر زیر میباشد.
C:\Windows\MEMORY.DMP
خلاصه ی مواردی که این ابزار آنها را بررسی میکند :

Loaded modules list
Drivers in memory code (compared to on-disk version)
Callbacks of kernel objects and internal ntoskrnl lists
PlugAndPlay tree and filters
Kernel types callbacks
FltMgr callbacks
KTimers DPC functions
IRP driver's tables
Driver signing global variables with callbacks
NDIS filters and callbacks
NetIO/FwpkCLNT filtering dispatch
Devices and their attached device objects
IDT entries
PatchGuard initialization and state

#ThreatHunting #RootKit
@securation