LensAnalysis open source: grafische geheugenforensica-tool op basis van Volatility 3, een zegen voor CTF-spelers

Geheugenforensica had altijd een instapdrempel: Volatility is wel krachtig, maar schrikt af door de vele commandline-parameters. Nu neemt LensAnalysis, een grafische geheugenforensica-tool op basis van Volatility 3, die drempel weg — op 15 september officieel open source gegaan.

De ontwikkelaar is hilyary, die de broncode openstelde tijdens de National Cybersecurity Awareness Week 2026 (14 tot 20 september), waarvan het thema dit keer luidt: 'cyberbeveiliging voor en door de mensen — in het intelligente tijdperk staat netwerkbeveiliging klaar'. Een goed gekozen moment.

Welk probleem lost het op

Iedereen die met geheugenforensica werkt kent het: Volatility 3 is de industriestandaard, maar pure commandline — pluginnamen onthouden, parameters kloppend maken, symboltabellen zelf regelen. Tijdens CTF-wedstrijden is de tijd krap, bij incidentrespons is de druk hoog, en één verkeerde parameter kan een halve dag wachttijd kosten.

Wat LensAnalysis doet is heel direct:alle mogelijkheden van Volatility 3 in een grafische interface gieten. Links kies je een plugin, met één klik voer je hem uit en rechts verschijnen de resultaten live. Met slimme caching reageren herhaalde acties binnen seconden.

Ondersteunde analysefuncties

Dekt de drie grote platformen Windows, Linux en macOS, met een indrukwekkend aantal plugins:

Windows (60+ plugins):

Procesanalyse: pslist, pstree, psscan, dlllist, handles, cmdline
Netwerkanalyse: netscan, netstat (met volledige tijdstempels)
Register: hivelist, printkey, certificates, userassist
Malware: malfind, ldrmodules, hollowprocesses
Wachtwoordextractie: hashdump, lsadump, cachedump
Servicescan: svcscan, svclist

Linux: pslist/pstree/psaux/envars, netstat/sockstat/ip_addr/ip_link, lsmod/check_modules/check_syscall, extractie van bash-geschiedenis, lsof/list_files/mount_info, malfind/check_idt/check_afinfo.

macOS: pslist/pstree/psaux/envars, netstat/ifconfig, lsmod, lsof/list_files/mount, timers/kauth_listeners/vfsevents.

Een paar echt handige functies

Flag-zoekfunctie: zoekt automatisch naar veelvoorkomende flag-formaten (flag{xxx}), een zegen voor CTF-spelers
Regex-zoekfunctie: met eigen reguliere expressies data uit het geheugen opdelven
Stringextractie: alle afdrukbare strings met één klik extraheren
Automatische Linux-symboltabellen: downloadt dbgsym-debugsymbolpakketten automatisch van officiële bronnen en converteert ze naar het ISF-formaat van Volatility 3. Ondersteunt Ubuntu, Debian, CentOS — nooit meer handmatig naar symboltabellen zoeken
Proxyondersteuning: HTTP/HTTPS/SOCKS5, zodat symboltabellen ook binnen interne netwerken gedownload kunnen worden
Rapportexport: in drie formaten: Markdown, HTML en Word

Die 'automatische symboltabellen' verdienen een apart compliment. Wie met Volatility 3 werkt weet het: symboltabellen zijn een van de grootste valkuilen — elke distributie en elke kernelversie heeft eigen symbolen nodig, en het handmatig maken kost al snel een hele dag. Deze functie automatiseert dat volledig.

Installeren en gebruiken

Voor alle drie de platformen zijn kant-en-klare pakketten beschikbaar:

Windows: download LensAnalysis.exe en dubbelklik. Bij de eerste start de gebruiksvoorwaarden lezen en accepteren; op de welkomspagina een persoonlijk ID invoeren en je kunt binnen (inmiddels open source, geen machinecode of activatiecode meer nodig)
macOS (12+): download de .dmg, sleep hem naar Applications; bij de eerste keer starten rechtsklikken → openen
Linux: download de .tar.gz, uitpakken en run.sh uitvoeren; draaien vanuit de broncode kan ook

De workflow bestaat uit vier stappen: image laden (.raw/.mem/.vmem enz., het type wordt automatisch gedetecteerd) → links een plugin kiezen en uitvoeren → rechts de resultaten bekijken → rapport exporteren.

⚠️ Het Windows-installatiepakket is met Python verpakt en nog niet codeondertekend; sommige antivirussoftware geeft een foutmelding. Download daarom uitsluitend via de officiële Releases.

Licentie: gratis voor niet-commercieel gebruik, commercieel gebruik vereist toestemming

Dit moeten we duidelijk zeggen, om valkuilen te vermijden:

✅ Persoonlijk leren, securityonderzoek, CTF-wedstrijden, onderwijs, geautoriseerde pentests en incidentrespons — allemaal gratis
✅ Met behoud van de vermelding van de oorspronkelijke auteur en copyright mag je het wijzigen, distribueren en niet-commercieel verder ontwikkelen
❌ Zonder schriftelijke toestemming: de software niet verkopen, geen betaalde diensten aanbieden, niet in commerciële producten integreren
❌ Copyrightinformatie niet verwijderen of aanpassen; aangepaste versies niet als officiële versie presenteren

Voor commercieel gebruik moet je eerst contact opnemen met de oorspronkelijke auteur voor schriftelijke toestemming. De volledige voorwaarden bepalend: de LICENSE in de repository.

Waarom het de moeite waard is

Geheugenforensica is een kernvaardigheid voor incidentrespons en threat hunting, maar de toolchain was altijd al 'hardcore'. De betekenis van LensAnalysis zit in het verlagen van de drempel — het heeft geen nieuw wiel uitgevonden, maar gaf de volwassen motor Volatility 3 een gebruiksvriendelijk jasje en vult meteen de grootste valkuil: de symboltabellen.

Voor CTF-spelers scheelt het tijd; voor incidentrespondenten vermindert het foutbediening; voor het onderwijs maakt het geheugenforensica makkelijker uitlegbaar. Open source + gratis voor niet-commercieel: de drempel ligt erg laag.

Natuurlijk, een tool is maar een tool. Wat de forensische kwaliteit echt bepaalt, blijft het begrip van de analyst voor geheugenstructuren en de forensische aanpak. Maar vanaf nu hoef je je in elk geval geen zorgen meer te maken over het onthouden van commandline-parameters.

Geheugenforensica eenvoudiger maken — die slogan kan hij dragen.

Projectadres: github.com/hilyary/LensAnalysis
Open source sinds: 15 september 2026
Licentie: gratis voor niet-commercieel gebruik, commercieel gebruik vereist toestemming