Для решения задания необходимо прочитать содержимое файла HELP.txt открытого в блокноте. Для этого в свою очередь при помощи volatility нужно достать память процесса при помощи:
```bash
 vol.py -f memory.dmp windows.dumpfiles.DumpFiles --pid **PID_notepad**
```
Получить PID процесса можно при помощи:
```bash
 vol.py -f memory.dmp windows.pslist.PsList 
 vol.py -f memory.dmp windows.pstree.PsTree
 vol.py -f memory.dmp windows.psscan.PsScan
```
Затем при помощи:
```bash
 strings -e l memory.dmp | grep -A 50 -B 5 "id"
```
найти содержимое открытого в текущий момент файла.