LensAnalysis je open source: grafický nástroj pro forenzní analýzu paměti postavený na Volatility 3, požehnání pro účastníky CTF

Forenzní analýza paměti měla vždy jednu překážku: Volatility je sice mocné, ale množství parametrů příkazové řádky odradí. Teď jeden čínský open source nástroj tuto překážku odstranil – LensAnalysis, grafický nástroj pro forenzní analýzu paměti postavený na Volatility 3, který byl 15. září oficiálně uvolněn jako open source.

Autorem je hilyary a zdrojový kód otevřel v období Národního týdne kybernetické bezpečnosti 2026 (14. až 20. září). Načasování je velmi příhodné.

Jaký problém řeší

Každý, kdo dělá forenzní analýzu paměti, ví, že Volatility 3 je oborovým standardem, ale pracuje se s ním čistě v příkazové řádce: je nutné si pamatovat názvy pluginů, správně zadávat parametry a sami si obstarat tabulky symbolů. Na CTF soutěžích je čas drahý, při incident response je tlak velký a jediný překlep v parametru může znamenat půl dne ztraceného čekáním.

LensAnalysis dělá věc velmi přímočaře:obaluje veškeré schopnosti Volatility 3 grafickým rozhraním. V levém panelu vyberete plugin, kliknutím jej spustíte a výsledky se zobrazí vpravo v reálném čase. Součástí je inteligentní cache, takže opakované operace reagují v řádu sekund.

Podporované analytické možnosti

Pokrývá tři hlavní platformy Windows, Linux a macOS a počet pluginů je úctyhodný:

Windows (60+ pluginů):

• Analýza procesů: pslist, pstree, psscan, dlllist, handles, cmdline
• Síťová analýza: netscan, netstat (včetně úplných časových razítek)
• Registr: hivelist, printkey, certificates, userassist
• Škodlivý kód: malfind, ldrmodules, hollowprocesses
• Extrakce hesel: hashdump, lsadump, cachedump
• Skenování služeb: svcscan, svclist

Linux: pslist/pstree/psaux/envars, netstat/sockstat/ip_addr/ip_link, lsmod/check_modules/check_syscall, extrakce historie příkazů bash, lsof/list_files/mount_info, malfind/check_idt/check_afinfo.

macOS: pslist/pstree/psaux/envars, netstat/ifconfig, lsmod, lsof/list_files/mount, timers/kauth_listeners/vfsevents.

Několik funkcí, které skutečně ušetří práci

• Hledání flagů: automaticky vyhledává běžné formáty flagů (flag{xxx}), požehnání pro účastníky CTF
• Hledání regulárními výrazy: dolování dat z paměti pomocí vlastního regulárního výrazu
• Extrakce řetězců: jedním kliknutím extrahuje všechny tisknutelné řetězce
• Automatické vytváření tabulek symbolů pro Linux: automaticky stahuje balíčky ladicích symbolů dbgsym z oficiálních zdrojů a převádí je do formátu ISF pro Volatility 3. Podporuje Ubuntu, Debian a CentOS – tabulky symbolů už nemusíte hledat ručně
• Podpora proxy: HTTP/HTTPS/SOCKS5, tabulky symbolů lze stahovat i ve vnitřní síti
• Export reportu: tři formáty – Markdown, HTML a Word

To „automatické vytváření tabulek symbolů“ si zaslouží zvláštní pochvalu. Kdo někdy pracoval s Volatility 3, ví, že tabulky symbolů jsou jedním z největších úskalí – každá distribuce a každá verze jádra potřebuje odpovídající symboly a ruční příprava může sebrat celý den. Tahle funkce to plně automatizuje.

Jak nainstalovat a používat

Pro všechny tři platformy jsou připravené hotové balíčky:

• Windows: stáhněte LensAnalysis.exe a spusťte jej dvojklikem. Při prvním spuštění si přečtěte a přijměte podmínky použití, poté na uvítací stránce zadáte osobní ID a vstoupíte do programu (nyní je projekt open source, není potřeba strojový kód ani aktivační kód)
• macOS (12+): stáhněte .dmg, přetáhněte jej do Applications a při prvním spuštění použijte pravé tlačítko → Otevřít
• Linux: stáhněte .tar.gz, rozbalte jej a spusťte run.sh; podporován je i běh ze zdrojového kódu

Použití má čtyři kroky: načtěte obraz (.raw/.mem/.vmem atd., systém typ rozpozná automaticky) → vlevo vyberte plugin a spusťte jej → vpravo si prohlédněte výsledky → exportujte report.

⚠️ Instalační balíček pro Windows je zabalen z Pythonu a zatím není podepsán kódem, takže některé antiviry mohou hlásit falešný nález; stahujte výhradně z oficiálních Releases.

Licence: pro nekomerční použití zdarma, komerční vyžaduje svolení

To je třeba říct jasně, abyste se vyhnuli nepříjemnostem:

• ✅ Osobní studium, bezpečnostní výzkum, CTF soutěže, výuka, autorizované penetrační testování a incident response – to vše je zdarma
• ✅ Úpravy, distribuce a nekomerční další vývoj jsou povoleny, pokud zůstanou zachovány údaje o původním autorovi a autorských právech
• ❌ Bez písemného svolení nelze software prodávat, poskytovat placené služby ani jej integrovat do komerčních produktů
• ❌ Nesmí být odstraněny ani upraveny údaje o autorských právech a upravená verze se nesmí vydávat za oficiální

Pro komerční využití je nutné nejprve kontaktovat původního autora a získat písemné svolení. Rozhodující je úplné znění licence v repository, v souboru LICENSE.

Proč stojí za pozornost

Forenzní analýza paměti je klíčovou dovedností incident response a threat huntingu, ale nástrojový řetězec je stále dost „hardcore“. Význam LensAnalysis spočívá ve snížení prahu vstupu – nevymýšlí nové kolo, ale obaluje zralý engine Volatility 3 použitelným rozhraním a mimochodem zasypává i největší jámu v podobě tabulek symbolů.

Účastníkům CTF šetří čas, pracovníkům incident response snižuje riziko chybných kroků a pro výuku dělá forenzní analýzu paměti lépe vysvětlitelnou. Open source a nekomerční použití zdarma – práh je velmi nízko.

Samozřejmě, nástroj je jen nástroj. O kvalitě forenzní analýzy nakonec rozhoduje znalost struktury paměti a forenzní uvažování analytika. Ale teď si přinejmenším nemusíte lámat hlavu s pamatováním parametrů příkazové řádky.

„Udělat forenzní analýzu paměti jednodušší“ – tohle heslo si může s klidem přivlastnit.

Adresa projektu: github.com/hilyary/LensAnalysis
Datum zveřejnění: 15. září 2026
Licence: pro nekomerční použití zdarma, komerční vyžaduje svolení