Analizar un módulo de proceso

Para iniciar el análisis de un módulo de proceso, primero debe cargar la lista de procesos en el panel “Load”.

Una vez hecho esto, seleccione** cualquier proceso de la lista** y un módulo cargado (DLL/EXE) del panel derecho. Confirme su elección con el botón “Load”.

Al igual que en el análisis de archivos, comienza el procesamiento y los datos PE** se muestran en la vista “Results”**. El análisis de memoria (proceso) incorpora múltiples capas adicionales en comparación con un análisis de archivo clásico:

A. Pestaña Memory: Muestra todas las páginas de memoria utilizadas por el módulo. Se pueden volcar o inspeccionar.

B. Comparación RunPE: La estructura PE en memoria se compara con su imagen en disco. Los resultados se muestran con una sintaxis de colores (rojo: discordancia, verde: coincidencia), de modo que resulta fácil ver las diferencias.

C. La pestaña General muestra información del proceso.
D. La pestaña Imports/Exports muestra posibles hooks y permite inspeccionar el desensamblado del código.