LensAnalysis с открытым кодом: графический инструмент форензики памяти на базе Volatility 3

У форензики памяти всегда был порог входа: Volatility мощный, но параметры командной строки множатся до состояния «отпугнуть новичка». Теперь появился инструмент с открытым кодом, убравший этот барьер — LensAnalysis, графический инструмент форензики памяти на базе Volatility 3, официально открытый 15 сентября.

Разработчик — hilyary. Исходный код открыт в период Национальной недели кибербезопасности 2026 года (14–20 сентября), девиз которой — «Кибербезопасность для людей и силами людей — интеллектуальная эпоха под защитой кибербезопасности». Дата выбрана очень в тему.

Какую боль он решает

Кто занимается форензикой памяти, тот знает: Volatility 3 — отраслевой стандартный фреймворк, но работа полностью через командную строку: имена плагинов надо помнить, параметры сверять, таблицы символов добывать самому. На CTF-соревнованиях время поджимает, при реагировании на инциденты давление огромное — ошибётесь в одном параметре и можете полдня ждать впустую.

Что делает LensAnalysis, предельно просто:оборачивает все возможности Volatility 3 в графический интерфейс. Слева выбираете плагин, кликаете — он выполняется, результаты в реальном времени отображаются справа. Вдобавок есть умное кэширование: повторяющиеся операции выполняются за секунды.

Поддерживаемые возможности анализа

Охватываются три платформы — Windows, Linux и macOS; количество плагинов внушительное:

Windows (60+ плагинов):

Анализ процессов: pslist, pstree, psscan, dlllist, handles, cmdline
Сетевой анализ: netscan, netstat (с полными временными метками)
Реестр: hivelist, printkey, certificates, userassist
Вредоносный код: malfind, ldrmodules, hollowprocesses
Извлечение паролей: hashdump, lsadump, cachedump
Сканирование служб: svcscan, svclist

Linux: pslist/pstree/psaux/envars, netstat/sockstat/ip_addr/ip_link, lsmod/check_modules/check_syscall, извлечение истории команд bash, lsof/list_files/mount_info, malfind/check_idt/check_afinfo.

macOS: pslist/pstree/psaux/envars, netstat/ifconfig, lsmod, lsof/list_files/mount, timers/kauth_listeners/vfsevents.

Несколько по-настоящему удобных функций

Поиск флагов: автоматический поиск распространённых форматов флагов (flag{xxx}) — настоящий подарок для игроков CTF
Поиск по регулярным выражениям: пользовательские регулярные выражения для поиска данных в памяти
Извлечение строк: извлечение всех печатаемых строк одним кликом
Автоматическое создание таблиц символов Linux: автоматическая загрузка пакетов отладочных символов dbgsym из официальных источников и конвертация в формат ISF для Volatility 3. Поддерживаются Ubuntu, Debian и CentOS — больше не нужно вручную искать таблицы символов
Поддержка прокси: HTTP/HTTPS/SOCKS5 — скачивать таблицы символов можно даже из внутренней сети
Экспорт отчётов: три формата — Markdown, HTML и Word

Функцию «автоматического создания таблиц символов» стоит похвалить отдельно. Кто работал с Volatility 3, знает: таблицы символов — одна из главных ловушек — для разных дистрибутивов и версий ядра нужны свои символы, и вручную это может съесть целый день. Эта функция полностью её автоматизирует.

Как установить и пользоваться

Для всех трёх платформ есть готовые пакеты:

Windows: скачайте LensAnalysis.exe и запустите двойным кликом. При первом запуске прочитайте и примите условия использования, на странице приветствия введите личный ID и войдите (теперь проект открыт, код машины или ключ активации не нужны)
macOS (12+): скачайте .dmg и перетащите в Applications; при первом запуске нужно правый клик → Открыть
Linux: скачайте .tar.gz, распакуйте и запустите run.sh; поддерживается также запуск из исходников

Рабочий процесс из четырёх шагов: загрузить образ (.raw/.mem/.vmem и т.д., тип определяется автоматически) → выбрать плагин слева и выполнить → смотреть результаты справа → экспортировать отчёт.

⚠️ Установочный пакет для Windows собран с помощью Python и пока не имеет цифровой подписи — некоторые антивирусы могут давать ложные срабатывания, поэтому скачивайте только из официального Releases.

Лицензия: бесплатно для некоммерческого использования, для коммерческого требуется разрешение

Это нужно проговорить чётко, чтобы не попасть впросак:

✅ Личное обучение, исследования в области безопасности, CTF-соревнования, преподавание, авторизованное пентестирование и реагирование на инциденты — всё бесплатно
✅ При сохранении информации об авторе и копирайте допускаются модификация, распространение и некоммерческая доработка
❌ Без письменного разрешения запрещено продавать ПО, оказывать платные услуги и встраивать его в коммерческие продукты
❌ Запрещено удалять или изменять информацию о копирайте, а также выдавать модифицированные версии за официальные

Для коммерческого использования сначала свяжитесь с автором и получите письменное разрешение. Полные условия — в файле LICENSE в репозитории.

Почему это заслуживает внимания

Форензика памяти — ключевой навык реагирования на инциденты и threat hunting, но инструментарий всегда был «хардкорным». Значение LensAnalysis — в снижении порога входа: он не изобретал новый велосипед, а обернул зрелый движок Volatility 3 в удобную оболочку и заодно засыпал самую большую яму — таблицы символов.

Для игроков CTF он экономит время; для специалистов по реагированию — снижает риск ошибок; для преподавания — делает форензику памяти понятнее. Открытый код плюс бесплатность для некоммерческого использования — порог входа максимально низкий.

Конечно, инструмент — это лишь инструмент. Качество форензики по-прежнему определяется пониманием аналитиком структуры памяти и его методологией. Но как минимум теперь вам не нужно мучиться с запоминанием параметров командной строки.

«Сделать форензику памяти проще» — с этим лозунгом он справляется.

Адрес проекта: github.com/hilyary/LensAnalysis
Дата открытия кода: 15 сентября 2026 года
Лицензия: бесплатно для некоммерческого использования, для коммерческого требуется разрешение