«Белкасофт» выпускает криминалистический инструмент для снятия образов памяти защищённых процессов

«Белкасофт» выпускает новый криминалистический инструмент

Компания «Белкасофт» выпускает инструмент, позволяющий криминалистам снимать образ областей оперативной памяти компьютеров, защищённых активными системами противодействия отладке. Бесплатная программа Belkasoft RAM Capturer поставляется в комплекте с 32- и 64-разрядными драйверами, работающими в режиме ядра операционной системы.



Работа в привилегированном режиме позволяет программе обходить защиту, устанавливаемую активными системами противодействия отладке. В результате Belkasoft RAM Capturer способен получать точный слепок областей оперативной памяти, которые остаются недоступными для аналогичных программ, работающих в пользовательском режиме.

Образ памяти, полученный с помощью Belkasoft RAM Capturer, может быть проанализирован криминалистическим продуктом компании Belkasoft Evidence Center с помощью функции Live RAM Analysis. Исследование образа оперативной памяти компьютера позволяет криминалистам обнаруживать данные, не попадающие на жёсткий диск, такие как чаты, общение в социальных сетях и переговоры в онлайновых многопользовательских играх.

Снятие слепков оперативной памяти защищённых процессов

Многие программы, включая популярные многопользовательские игры, а также вредоносное ПО защищают свои процессы от исследования с помощью отладочных инструментов. В таких программах используются активные системы противодействия отладке, способные обнаружить и тем или иным образом предотвратить попытку других программ считать данные из областей памяти, занимаемых защищёнными процессами. В лучшем случае попытка использования отладчика не удаётся - вместо интересующей исследователя информации в защищённой области обнаруживаются нули или случайные данные. В худшем случае происходит зависание компьютера, делающее дальнейшее исследование невозможным.

Для предотвращения подобного развития событий необходимо использование инструментария, работающего в привилегированном режиме ядра операционной системы. В поставку Belkasoft RAM Capturer входят 32- и 64-разрядные версии драйверов, работающих в режиме ядра и позволяющих корректно обрабатывать области данных, принадлежащие защищённым процессам.

Сравнение с аналогами

Эксперты «Белкасофт» провели тестирование популярных продуктов для снятия образов памяти. Были опробованы программы AccessData FTK Imager 3.0.0.1443, PMDump 1.2 и собственный продукт компании - Belkasoft RAM Capturer.

Для тестирования была выбрана защищённая игра Karos. В процессе тестирования запускалась игра Карос, производилась переписка с использованием внутреннего чата игры. Затем с использованием одного из инструментов, не выходя из игры, производилась попытка снятия образа памяти.

В результате тестирования обнаружилось, что AccessData FTK Imager 3.0.0.1443 вместо осмысленных данных выдал нули, а PMDump 1.2 не смог считать область памяти, занимаемую защищённым процессом. Belkasoft RAM Capturer оказался единственным инструментом, выдавшим корректный и точный образ данных защищённого процесса.

Системные требования и совместимость

Belkasoft RAM Capturer совместим со всеми 32- и 64-разрядными версиями Windows включая Windows XP, Windows Vista, Windows 7 и 8, 2003 и 2008 Server. Программа не требует установки и может быть запущена с внешнего флеш-накопителя.

Стоимость

Belkasoft RAM Capturer распространяется бесплатно.

В рунете по суду забанили два сервиса по подделке документов для налоговой

Московский суд удовлетворил ходатайство прокуратуры о признании запрещенной информации о возможности получения налоговых вычетов по НДС путем подделки документов и счел это основанием для блокировки сайтов.

Иск был подан по результатам прокурорской проверки, которая показала, что предлагаемые владельцами двух сайтов услуги по «налоговой оптимизации» на самом деле сводятся к созданию фальшивок, удостоверяющих право плательщика НДС на вычет.

Согласно материалам дела, с которыми ознакомилось РИА Новости, создаваемые по заказу документы содержат сведения об «искусственных, не совершенных реально хозяйственных операциях, что влечет неуплату налогов и причинение ущерба бюджету РФ в значительном размере».

Как оказалось, доменные имена обоих сайтов, попавших в поле зрения регулятора, были зарегистрированы за рубежом — на Виргинских островах и в Ирландии.

Суд признал, что распространение в Сети данных о средствах и способах совершения налоговых правонарушений / преступлений недопустимо. Выявленные нарушители будут внесены в единый реестр ресурсов с запрещенной информацией, который ведет Роскомнадзор.

В 2025 году с подачи РКН соцсети и мессенджеры удалили 1289 тыс. единиц запрещенного контента — против 810,5 тыс. в 2024-м. По числу блокировок лидировала категория наркотиков, по темпам прироста — средства обхода регуляторных ограничений.

RSS: Новости на портале Anti-Malware.ru