PE-sieve

PE-sieveは特定のプロセスをスキャンし、メモリ内のコード変更を含むモジュールを検索します。見つかった場合、変更されたPEをダンプします。インラインフック、空洞化されたプロセス、プロセスのDoppelgängingなどを検出します。マルウェアの解凍に使用できます。

ライセンスのあるすべてのプラットフォームでのPE-sieveの代替

特定のプロセスまたは現在実行中のすべてのプロセスからメモリコンポーネントをダンプします。kernel32.dllなどのすべてのクリーンファイルのダンプをスキップできるように、クリーンハッシュデータベースの作成と使用をサポートします。