LensAnalysis open sources: Grafisk memory forensics-værktøj bygget på Volatility 3

Memory forensics har altid haft en tærskel: Volatility er mægtigt, men kommandolinjeparametrene er så mange, at de skræmmer folk væk. Nu har et open source-værktøj revet den tærskel ned – LensAnalysis, et grafisk memory forensics-værktøj baseret på Volatility 3, som blev open sourced den 15. september.

Udvikleren hedder hilyary og valgte at frigive koden under China Cybersecurity Awareness Week 2026 (14.-20. september), hvis tema netop er ”Cybersikkerhed for folket, cybersikkerhed afhængig af folket – i den intelligente tidsalder vagger cybersikkerheden”. Tidspunktet kunne ikke være mere passende.

Hvilke problemer løser det?

Alle, der arbejder med memory forensics, ved, at Volatility 3 er branchestandard-frameworket, men at det er rent kommandolinjearbejde: Pluginnavne skal huskes, parametre skal matches, og symboltabeller skal man selv fikse. Under CTF-konkurrencer er tiden knap, og ved incident response er presset højt – én tastefejl i en parameter kan koste timers ventetid.

Det LensAnalysis gør, er helt klart:Lægger et grafisk interface oven på hele Volatility 3's kapacitet. Vælg plugin i venstre panel, klik for at køre, og resultaterne vises i realtid i højre side. Med intelligent caching klarer gentagne operationer på sekunder.

Understøttede analysefunktioner

Dækker Windows, Linux og macOS – med et imponerende antal plugins:

Windows (60+ plugins):

Procesanalyse: pslist, pstree, psscan, dlllist, handles, cmdline
Netværksanalyse: netscan, netstat (med fulde tidsstempler)
Registreringsdatabasen: hivelist, printkey, certificates, userassist
Ondartet kode: malfind, ldrmodules, hollowprocesses
Adgangskodeudtræk: hashdump, lsadump, cachedump
Servicescanning: svcscan, svclist

Linux: pslist/pstree/psaux/envars, netstat/sockstat/ip_addr/ip_link, lsmod/check_modules/check_syscall, udtræk af bash-kommandohistorik, lsof/list_files/mount_info, malfind/check_idt/check_afinfo.

macOS: pslist/pstree/psaux/envars, netstat/ifconfig, lsmod, lsof/list_files/mount, timers/kauth_listeners/vfsevents.

Et par funktioner, der virkelig sparer arbejde

Flagsøgning: Søger automatisk efter almindelige flag-formater (flag{xxx}) – en velsignelse for CTF-spillere
Regex-søgning: Brug tilpassede regulære udtryk til at grave data ud af hukommelsen
Strengudtræk: Ét klik for at udtrække alle udskrivbare strenge
Automatisk opbygning af Linux-symboltabeller: Downloader automatisk dbgsym-fejlfindingspakker fra de officielle kilder og konverterer dem til Volatility 3's ISF-format. Understøtter Ubuntu, Debian og CentOS – ingen manuel jagt på symboltabeller mere
Proxy-understøttelse: HTTP/HTTPS/SOCKS5 – symboltabeller kan også downloades i intranetmiljøer
Rapporteksport: Markdown, HTML og Word – tre formater

”Automatisk opbygning af symboltabeller” fortjener en særlig ros. Enhver, der har arbejdet med Volatility 3, ved, at symboltabeller er en af de største faldgruber – hver distribution og hver kerneversion kræver sine egne symboler, og at lave dem manuelt kan tage en hel dag. Denne funktion automatiserer det hele.

Installation og brug

Der er færdigpakkede versioner til alle tre platforme:

Windows: Download LensAnalysis.exe og dobbeltklik. Ved første start skal du læse og acceptere vilkårene; indtast dit personlige ID på velkomstsiden for at komme ind (nu open source – ingen maskinkode eller aktiveringskode nødvendig)
macOS (12+): Download .dmg-filen, træk den til Applications; ved første kørsel: højreklik → Åbn
Linux: Download .tar.gz, udpak og kør run.sh – kan også køres fra kilden

Arbejdsgangen har fire trin: Indlæs memory-image (.raw/.mem/.vmem osv. – systemet registrerer typen automatisk) → vælg plugin i venstre panel og kør → se resultater i højre panel → eksportér rapport.

⚠️ Windows-installationspakken er pakket med Python og er endnu ikke kodesignet; nogle antivirusprogrammer kan give falske alarmer – download kun fra de officielle Releases.

Licens: Gratis til ikke-kommerciel brug, kommerciel brug kræver tilladelse

Det skal gøres klart for at undgå fælder:

✅ Personlig læring, sikkerhedsforskning, CTF-konkurrencer, undervisning samt autoriseret penetrationstest og incident response – alt gratis
✅ Under forudsætning af, at den oprindelige forfatter og ophavsretslige oplysninger bevares, kan softwaren modificeres, distribueres og videreudvikles ikke-kommercielt
❌ Uden skriftlig tilladelse må softwaren ikke sælges, ydes som betalt service eller integreres i kommercielle produkter
❌ Ophavsretslige oplysninger må ikke fjernes eller ændres, og modificerede versioner må ikke udgives som den officielle version

Til kommerciel brug skal den oprindelige forfatter kontaktes først for at få skriftlig tilladelse. De fulde vilkår fremgår af LICENSE-filen i repositoriet.

Hvorfor er den bemærkelsesværdig?

Memory forensics er en kernekompetence i incident response og threat hunting, men værktøjskæden har altid været ”hardcore”. LensAnalysis' betydning er at sænke tærsklen – den opfinder ikke hjulet igen, men pakker den modne Volatility 3-motor ind i en letanvendelig skal og udfylder samtidig den største faldgrube: symboltabellerne.

For CTF-spillere sparer den tid; for incident responders reducerer den fejlbehæftede handlinger; i undervisningen gør den memory forensics lettere at formidle. Open source + gratis til ikke-kommerciel brug – barrieren er sat meget lavt.

Selvfølgelig er et værktøj bare et værktøj. Det, der virkelig bestemmer kvaliteten af en forensisk analyse, er stadig analytikerens forståelse af hukommelsens struktur og den forensiske tankegang. Men du behøver i det mindste ikke længere at knække dig over kommandolinjeparametre.

At gøre memory forensics lettere – det slogan fortjener den.

Projektadresse: github.com/hilyary/LensAnalysis
Open source-tidspunkt: 15. september 2026
Licens: Gratis til ikke-kommerciel brug, kommerciel brug kræver tilladelse