LensAnalysis (Xijing) é aberto ao público: ferramenta gráfica de forense de memória baseada no Volatility 3, uma bênção para quem joga CTF

A forense de memória sempre teve uma barreira de entrada: o Volatility é poderoso, mas tem tantos parâmetros de linha de comando que desanima. Agora surgiu uma ferramenta open source nacional que derruba essa barreira — o LensAnalysis (Xijing), uma ferramenta gráfica de forense de memória baseada no Volatility 3, oficialmente aberta ao público em 15 de setembro.

O desenvolvedor é o hilyary, que escolheu liberar o código-fonte durante a Semana Nacional de Conscientização em Segurança Cibernética de 2026 (de 14 a 20 de setembro), cujo tema era justamente "a segurança cibernética serve ao povo e depende do povo — na era inteligente, a segurança cibernética dá proteção". A data foi bem escolhida.

Que dor ele resolve

Quem trabalha com forense de memória sabe: o Volatility 3 é o framework padrão do setor, mas é operado inteiramente por linha de comando — é preciso decorar nomes de plugins, acertar parâmetros e lidar por conta própria com as tabelas de símbolos. Em uma competição de CTF o tempo é apertado; em uma resposta a incidentes a pressão é enorme; errar um único parâmetro pode custar horas de espera à toa.

O que o LensAnalysis faz é direto:colocar uma interface gráfica por cima de todos os recursos do Volatility 3. No painel esquerdo você seleciona o plugin, clica para executar e os resultados aparecem em tempo real à direita. Ele ainda traz cache inteligente, e operações repetidas respondem em segundos.

Capacidades de análise suportadas

Cobre as três grandes plataformas — Windows, Linux e macOS — com uma quantidade impressionante de plugins:

Windows (mais de 60 plugins):

• Análise de processos: pslist, pstree, psscan, dlllist, handles, cmdline
• Análise de rede: netscan, netstat (com carimbos de data/hora completos)
• Registro do Windows: hivelist, printkey, certificates, userassist
• Código malicioso: malfind, ldrmodules, hollowprocesses
• Extração de senhas: hashdump, lsadump, cachedump
• Varredura de serviços: svcscan, svclist

Linux: pslist/pstree/psaux/envars, netstat/sockstat/ip_addr/ip_link, lsmod/check_modules/check_syscall, extração do histórico de comandos do bash, lsof/list_files/mount_info, malfind/check_idt/check_afinfo.

macOS: pslist/pstree/psaux/envars, netstat/ifconfig, lsmod, lsof/list_files/mount, timers/kauth_listeners/vfsevents.

Alguns recursos que realmente economizam trabalho

• Busca de flags: procura automaticamente os formatos de flag mais comuns (flag{xxx}) — uma bênção para quem joga CTF
• Busca por expressão regular: use regex personalizadas para escavar dados na memória
• Extração de strings: extraia todas as strings imprimíveis com um clique
• Geração automática de tabelas de símbolos do Linux: baixa automaticamente os pacotes de símbolos de depuração (dbgsym) das fontes oficiais e os converte para o formato ISF do Volatility 3. Suporta Ubuntu, Debian e CentOS — chega de caçar tabelas de símbolos manualmente
• Suporte a proxy: HTTP/HTTPS/SOCKS5; dá para baixar tabelas de símbolos até em redes internas
• Exportação de relatórios: três formatos — Markdown, HTML e Word

A "geração automática de tabelas de símbolos" merece um elogio à parte. Quem já usou o Volatility 3 sabe que a tabela de símbolos é uma das maiores armadilhas — cada distribuição e cada versão de kernel exige os símbolos correspondentes, e fazer isso manualmente pode consumir um dia inteiro. Esse recurso simplesmente automatizou tudo isso.

Como instalar e usar

Há pacotes prontos para as três plataformas:

• Windows: baixe o LensAnalysis.exe e execute-o com um duplo clique. Na primeira inicialização, leia e aceite os termos de uso e informe o seu ID pessoal na tela de boas-vindas para entrar (agora é open source; não há necessidade de código de máquina nem código de ativação)
• macOS (12+): baixe o .dmg e arraste para a pasta Aplicativos; na primeira execução, é preciso clicar com o botão direito e escolher Abrir
• Linux: baixe o .tar.gz, descompacte e execute o run.sh; também é possível rodar a partir do código-fonte

O fluxo de uso tem quatro passos: carregue a imagem (.raw/.mem/.vmem etc., com detecção automática do tipo) → selecione e execute os plugins no painel esquerdo → veja os resultados à direita → exporte o relatório.

⚠️ O instalador do Windows é empacotado com Python e ainda não tem assinatura de código, então alguns antivírus podem dar alarme falso; baixe sempre das Releases oficiais.

Licença: gratuito para uso não comercial; uso comercial exige autorização

Este ponto precisa ficar claro para evitar armadilhas:

• ✅ Estudo pessoal, pesquisa em segurança, competições de CTF, ensino, testes de intrusão autorizados e resposta a incidentes — tudo gratuito
• ✅ Mantendo as informações de autor e copyright originais, é permitido modificar, distribuir e fazer desenvolvimento secundário não comercial
• ❌ Sem autorização por escrito, é proibido vender o software, oferecer serviços pagos com ele ou integrá-lo a produtos comerciais
• ❌ É proibido remover ou alterar as informações de copyright e passar versões modificadas por versão oficial

Para usar comercialmente, é preciso primeiro contatar o autor original e obter autorização por escrito. Os termos completos valem o que está no arquivo LICENSE do repositório.

Por que vale a pena ficar de olho

A forense de memória é uma habilidade central na resposta a incidentes e na caça a ameaças, mas o ecossistema de ferramentas sempre foi muito "hardcore". O mérito do LensAnalysis é baixar a barreira: ele não reinventou a roda — pegou o motor maduro do Volatility 3, vestiu-o com uma interface fácil de usar e, de quebra, tapou a maior armadilha de todas, a das tabelas de símbolos.

Para quem joga CTF, economiza tempo; para quem faz resposta a incidentes, reduz erros de operação; para o ensino, deixa a forense de memória mais fácil de explicar. Open source e gratuito para uso não comercial: a barreira ficou baixíssima.

Claro, a ferramenta é só a ferramenta. O que realmente determina a qualidade da perícia é o entendimento do analista sobre a estrutura da memória e o seu método de investigação. Mas, pelo menos agora, você não precisa mais sofrer para decorar parâmetros de linha de comando.

Tornar a forense de memória mais simples — esse é um lema que a ferramenta sustenta.

Endereço do projeto: github.com/hilyary/LensAnalysis
Data de abertura do código: 15 de setembro de 2026
Licença: gratuito para uso não comercial; uso comercial exige autorização