PE-sieve (Portable)

프로세스 메모리 분석

지정된 프로세스의 메모리 영역을 스캔하여 다음 유형의 악성 활동을 탐지합니다:

• 인라인 훅 (inline hooks) 탐지
• 홀로잉된 프로세스 (hollowed processes) 감지
• 프로세스 도플갱어 (Process Doppelgänging) 탐지
• 주입된 PE 파일 (injected PE files) 검출

상세 보고서 생성

의심스러운 요소가 발견되면 해당 PE 파일을 덤프하고, 변경된 바이트 위치 및 기타 속성에 대한 상세한 JSON 형식 보고서를 생성합니다.

다운로드·설치 방법

PE-sieve는 두 가지 형태로 제공됩니다:

• 독립 실행 파일 (standalone executable): 즉시 사용 가능
• DLL 버전: HollowsHunter와 같은 다른 도구의 기반으로 사용

Chocolatey 패키지 매니저를 통해 설치할 수 있습니다:

choco install pesieve

또는 공식 웹사이트 또는 GitHub에서 직접 다운로드할 수 있습니다.

기본 사용법

명령줄에서 특정 프로세스를 분석하려면 다음과 같이 사용합니다:

pe-sieve.exe [PID]

여기서 [PID]는 분석할 프로세스의 프로세스 ID입니다.

이런 경우에 유용합니다

• 보안 전문가가 의심스러운 프로세스의 메모리를 분석할 때
• 악성코드 분석자가 프로세스 홀로잉 공격을 연구할 때
• 시스템 관리자가 인라인 훅을 포함한 코드 변조를 탐지할 때
• 디지털 포렌식 조사에서 메모리 기반 증거를 수집할 때

지원 환경

Windows XP부터 모든 버전의 Windows 운영체제를 지원합니다. libpeconv 라이브러리를 기반으로 개발되었습니다.

최신 버전·업데이트

현재 0.4.1 버전이 Chocolatey 패키지로 제공됩니다. 공식 웹사이트에서 빠른 업데이트가 이루어지고 있습니다.

제한 사항·확인 사항

• 메모리 덤프 파일 분석 기능은 아직 구현되지 않았습니다 (향후 업데이트 예정)
• 실시간 시스템 분석이 필요한 경우 시스템 소유자의 허가가 필요할 수 있습니다