Belkasoft RAM Capturer 1.0

Over Belkasoft RAM Capturer

Belkasoft RAM Capturer is een kernel-mode tool ontworpen om de inhoud van het vluchtige geheugen van de computer vast te leggen op een forensisch correcte manier. Ontwikkeld door een forensisch onderzoeksbedrijf, Belkasoft RAM Capturer vereist geen installatie en laat een zo klein mogelijk voetafdruk achter als theoretisch mogelijk is. Belkasoft RAM Capturer wordt met 32-bits en 64-bits kernel-mode drivers en is in staat om de meeste huidige anti-debugging- en antidumpingbeveiligingssystemen zoals nProtect GameGuard te overwinnen. In tegenstelling tot veel andere tools voor het dumpen van geheugen die strikt in de gebruikersmodus werken, werkt Belkasoft RAM Capturer in de meest bevoorrechte kernelmodus van het systeem, omdat het de volledige inhoud van het RAM-geheugen van de computer kan verkrijgen. Bepaalde toepassingen, waaronder computerspellen voor meerdere spelers, communicatietools en malware, implementeren antidebugging-maatregelen om tools van derden actief te blokkeren om toegang te krijgen tot hun geheugensets. In milde, best-case scenario's deze proactieve maatregelen zal gewoon leiden tot het geheugen dumping tool om nullen (of willekeurige gegevens) te lezen in plaats van de werkelijke informatie. In andere gevallen (bijvoorbeeld malware, Trojaanse paarden, bepaalde beveiligingstoepassingen), kunnen dergelijke systemen de pc vergrendelen of resetten, waardoor de inhoud van het vluchtige geheugen wordt vernietigd en het absoluut onmogelijk is om RAM-inhoud te dumpen. Voorbeelden van dergelijke anti-debugging systemen zijn nProtect GameGuard en het spel van Karos. Veel forensische RAM-acquisitietools werken in de minst bevoorrechte gebruikersmodus, waardoor deze beveiligingssystemen worden geactiveerd en hun gebruikers niets goeds kunnen doen. In tegenstelling tot veel concurrerende tools die in de gebruikersmodus van het systeem worden uitgevoerd, is Belkasoft RAM Capturer uitgerust met 32-bits en 64-bits kerneldrivers waarmee het gereedschap kan werken in de meest bevoorrechte kernelmodus. Belkasoft RAM Capturer laat de kleinst mogelijke voetafdruk achter, vereist geen installatie en kan binnen enkele seconden worden gestart vanaf een USB-flashstation. Geheugendumps verworven met Belkasoft RAM Capturer kunnen vervolgens worden geanalyseerd met Belkasoft Evidence Center Live RAM Analysis.