# Решение задачи forensics 10-3

## Цель
Из дампа памяти получить два искомых значения:
- имя вредоносного исполняемого файла;
- personal ID из файла `HELP.txt`, открытого в `notepad.exe`.

## Исходные данные
- Дамп памяти: `task4.raw`
- Инструмент анализа: Volatility 3

## Шаг 1. Определение вредоносного процесса
Строим дерево процессов:

```bash
python3 volatility3-2.27.0/vol.py -f task4.raw windows.pstree
```

В списке процессов обнаруживается путь:

```text
\Device\HarddiskVolume1\Users\mlwr\B3857EB1BC348C499001B1E8AD24FD1F.exe
```

Следовательно, искомое значение для первого вопроса:

```text
B3857EB1BC348C499001B1E8AD24FD1F
```

## Шаг 2. Поиск и извлечение файла HELP.txt
Чтобы найти файловые объекты в памяти, выполняем `filescan`:

```bash
python3 volatility3-2.27.0/vol.py -f task4.raw windows.filescan
```

После определения виртуального адреса нужного объекта извлекаем файл:

```bash
python3 volatility3-2.27.0/vol.py -f task4.raw windows.dumpfiles --virtaddr 0x8f0ccb71b820
```

В извлеченном содержимом `HELP.txt` присутствует personal ID, который является вторым флагом:

```text
3F5F1F7ECAA93A3D9001B1E8AD24FD1F
```

## Ответы
1. `B3857EB1BC348C499001B1E8AD24FD1F`
2. `3F5F1F7ECAA93A3D9001B1E8AD24FD1F`

Принимались ответы как в обертке, так и без