LensAnalysis si apre al pubblico: strumento grafico di memory forensics basato su Volatility 3, una benedizione per i giocatori di CTF

Il memory forensics ha sempre avuto una barriera d'ingresso: Volatility è potente quanto si vuole, ma i suoi parametri da riga di comando sono così tanti da far desistere chiunque. Ora uno strumento open source ha smontato quella barriera — LensAnalysis, uno strumento grafico di memory forensics basato su Volatility 3, diventato open source il 15 settembre.

Lo sviluppatore è hilyary, che ha scelto di aprire il codice in occasione della Settimana nazionale della cybersecurity 2026 (dal 14 al 20 settembre), il cui tema era proprio “la sicurezza informatica per il popolo, la sicurezza informatica grazie al popolo — nell'era intelligente la rete protegge”. Una data scelta a proposito.

Quale problema risolve

Chi fa memory forensics lo sa: Volatility 3 è il framework di riferimento del settore, ma è puro terminale: bisogna ricordare i nomi dei plugin, impostare correttamente i parametri, procurarsi da soli le tabelle dei simboli. Nelle competizioni CTF il tempo stringe, in un'emergenza la pressione è alta, e un parametro sbagliato può costare mezza giornata di attesa.

Quello che fa LensAnalysis è diretto:avvolgere tutte le capacità di Volatility 3 in un'interfaccia grafica. Nel pannello di sinistra si sceglie il plugin, lo si esegue con un clic e i risultati compaiono in tempo reale a destra. In più c'è una cache intelligente: le operazioni ripetute rispondono in pochi secondi.

Capacità di analisi supportate

Copre le tre grandi piattaforme Windows, Linux e macOS, con un numero di plugin notevole:

Windows (60+ plugin):

• Analisi dei processi: pslist, pstree, psscan, dlllist, handles, cmdline
• Analisi di rete: netscan, netstat (con timestamp completi)
• Registro di sistema: hivelist, printkey, certificates, userassist
• Malware: malfind, ldrmodules, hollowprocesses
• Estrazione di password: hashdump, lsadump, cachedump
• Scansione dei servizi: svcscan, svclist

Linux: pslist/pstree/psaux/envars, netstat/sockstat/ip_addr/ip_link, lsmod/check_modules/check_syscall, estrazione della cronologia dei comandi bash, lsof/list_files/mount_info, malfind/check_idt/check_afinfo.

macOS: pslist/pstree/psaux/envars, netstat/ifconfig, lsmod, lsof/list_files/mount, timers/kauth_listeners/vfsevents.

Alcune funzioni che fanno risparmiare davvero tempo

• Ricerca di flag: cerca automaticamente i formati di flag più comuni (flag{xxx}), una benedizione per i giocatori di CTF
• Ricerca con espressioni regolari: regex personalizzate per scavare dati nella memoria
• Estrazione di stringhe: estrae con un clic tutte le stringhe stampabili
• Generazione automatica delle tabelle dei simboli Linux: scarica automaticamente i pacchetti di simboli di debug dbgsym dalle fonti ufficiali e li converte nel formato ISF di Volatility 3. Supporta Ubuntu, Debian e CentOS — niente più ricerca manuale delle tabelle dei simboli
• Supporto proxy: HTTP/HTTPS/SOCKS5, si possono scaricare le tabelle dei simboli anche in una rete interna
• Esportazione dei report: in tre formati, Markdown, HTML e Word

Quella “generazione automatica delle tabelle dei simboli” merita un appello a parte. Chi ha usato Volatility 3 lo sa: le tabelle dei simboli sono una delle trappole più insidiose — ogni distribuzione e ogni versione del kernel richiede i simboli corrispondenti, e farne una a mano può rubare una giornata intera. Questa funzione l'ha resa automatica.

Come installarlo e usarlo

Ci sono pacchetti pronti per tutte e tre le piattaforme:

• Windows: scaricate LensAnalysis.exe e fate doppio clic. Al primo avvio leggete e accettate i termini d'uso, inserite il vostro ID personale nella pagina di benvenuto ed entrate (ora è open source, niente codice macchina né codice di attivazione)
• macOS (12+): scaricate il .dmg e trascinatelo in Applicazioni; al primo avvio serve clic destro → apri
• Linux: scaricate il .tar.gz, scompattatelo ed eseguite run.sh; è anche possibile eseguirlo dal codice sorgente

Il flusso d'uso è in quattro passi: caricate l'immagine (.raw/.mem/.vmem ecc., il tipo viene rilevato automaticamente) → scegliete il plugin a sinistra ed eseguitelo → guardate i risultati a destra → esportate il report.

⚠️ Il pacchetto d'installazione Windows è impacchettato con Python e per ora non è firmato digitalmente: alcuni antivirus potrebbero dare falsi allarmi, quindi scaricatelo solo dagli Releases ufficiali.

Licenza: gratuito per uso non commerciale, uso commerciale previa autorizzazione

Meglio chiarirlo subito, per evitare passi falsi:

• ✅ Studio personale, ricerca sulla sicurezza, competizioni CTF, didattica, penetration test autorizzati e risposta alle emergenze — tutto gratuito
• ✅ Conservando le informazioni sull'autore originale e sul copyright, si può modificare, distribuire e riutilizzare per scopi non commerciali
• ❌ Senza autorizzazione scritta, vietato vendere il software, offrire servizi a pagamento o integrarlo in prodotti commerciali
• ❌ Vietato rimuovere o modificare le informazioni sul copyright, oppure spacciare versioni modificate per quella ufficiale

Per l'uso commerciale occorre contattare prima l'autore originale e ottenere un'autorizzazione scritta. Per i termini completi fa fede il file LICENSE nel repository.

Perché merita attenzione

Il memory forensics è una competenza centrale per la risposta alle emergenze e il threat hunting, ma la sua toolchain è sempre stata piuttosto “hardcore”. Il senso di LensAnalysis è abbassare la barriera: non ha reinventato la ruota, ma ha avvolto il motore maturo di Volatility 3 in un guscio facile da usare, e per di più ha colmato la trappola più grande, quella delle tabelle dei simboli.

Per i giocatori di CTF fa risparmiare tempo; per chi fa risposta alle emergenze riduce gli errori; per la didattica rende il memory forensics più facile da spiegare. Open source più gratuito per uso non commerciale: la barriera d'ingresso è bassissima.

Certo, gli strumenti restano strumenti. A decidere davvero la qualità dell'analisi forense sono la comprensione della struttura della memoria e il metodo di chi analizza. Ma almeno adesso non dovete più preoccuparvi di ricordare i parametri da riga di comando.

Rendere il memory forensics più semplice — questo slogan, se lo merita.

Indirizzo del progetto: github.com/hilyary/LensAnalysis
Data dell'open source: 15 settembre 2026
Licenza: gratuito per uso non commerciale, uso commerciale previa autorizzazione