wecooperate / imonitor

iMonitor（冰镜 - 终端行为分析系统）

中文

Introduction

iMonitor (Endpoint Behavior Analysis System) is a endpoint behavior monitoring and analysis software based on iMonitorSDK.

Provides monitoring of system behaviors such as processes, files, registry, and networks. Support extensions and scripts, you can easily customize and add more functions. It can be used for virus analysis, software reverse engineering, intrusion detection, EDR, etc.

Screenshots

Version

2.2.0（2022.10.30）

• Add scripting support (you can use scripts to extend columns, customize matchers) Detailed reference Script Development Guide
• Optimized several user experiences
• Fixed some minor issues

2.1.1（2022.10.7）

• Adjust the priority of grouping and filtering (previously grouped and then filtered, now filtered before grouping)
• Fixed the issue where selecting columns caused the crash

2.1（2022.10.5）

• Added event snapshot support
  • Snapshot support sorting
• Add dynamic library load analysis (Properties - Dependency)
  • It can be analyzed that DLLs are lost and that DLLs are at risk of being hijacked
• Fixed a crash caused by finding any column

Thanks to sagasm for your feedback.

2.0（2022.09.14）

• Add the management of display columns, you can customize the data to be displayed

• Added highlight function, which can highlight key data

• Supports grouping and merging statistics, which greatly improves the convenience of analysis (similar to the GROUP BY effect in SQL)

• Add workspace management, different analysis scenarios can be quickly switched through the workspace

• Added find function

• Add multi-language support

• Add more event support

  • Add support for named pipes
  • Add HTTP, HTTPS support

• Add plugin support

  • Support for custom columns
  • Support custom rule matching
  • Support interface interaction (requires Qt dependency)

• Built-in some plugins

  • Add IP address attribution column
  • Add a column of path information that can be displayed by custom rules
  • Added column for process sensitive behavior description
  • Added quick rule matching if it is a document

• Miscellaneous

  • Added support for discarding filtered rules
  • Support switching between highlighting rules and filtering rules
  • The method of adding incremental filtering to rule matching, no longer requires full matching when adding rules
  • Add regular expression support for matching rules
  • Columns and rules support modifying default values
  • Add installation package

  1.0（2022.03.14）

imonitor's Issues

Translate to PT-BR

Is there any chance that you can translate the tool into Portuguese (Brazil)?

希望增加黑暗模式（Dark Mode）

几乎所有主流软件，都有深色模式了。连Visual Studio都有了

there are no more endpoints

there are no more endpoints available from the endpoint mapper when i start driver windows 10 20h2

建议：分组详情窗口

该窗口用于展示与分组 count对应行数的未分组前各行数据。

iMonitor的配置文件在系统上的位置

最近想实现用 scoop 安装和管理 iMonitor，但是发现不知道 iMonitor 的配置文件在系统上的位置（如果存在这样一个文件的话）

然后希望如果 iMonitor 存在配置文件的话，可以在启动时默认寻找 iMonitor.exe 所在目录是否存在配置文件（类似于其他软件的 portable mode），这样就方便用 scoop 的 persist 功能来持久化配置了。

Scoop 是 Windows 上的一个包管理软件，类似于 winget 和 macOS 上的 Homebrew

卡死未响应

启动软件后，捕获了两万多条记录，几秒后就未响应卡死

建议：记忆Process,File,Registry,Network,Http捕获是能与否

imonitor 2.0

列显示有问题

选择了很多列，但只能显示一部分

分组后事件结果不对？

iMonitor v2.1
分组前：

分组后：

是否分组后的事件计数应该等于1747+2167+875+2033==分组前的4161个事件？

查找时崩溃

iMonitor v2.0:

win7x64驱动加载失败

下载最新的版本，win7 x64驱动加载不了。
补丁已经安装了

关闭签名验证是可以的~

一直弹出证书错误

如上图，关掉后还是会弹出，点击查看证书：

【建议】快照记录数上限1万条太容易超出了，建议把这个条数放到设置里，毕竟每个人的机器配置不一样。

win7 报灾难性故障

设置 自动滚动 后,拖动捕获列表右侧垂直滚动条无效，总是被移动到列表最后

iMonitor 2.0.0

建议增加拖拽可执行程序监控行为

包括其进程以及其子进程和注入其他进程的线程等行为
比如和HRSword的组ID差不多

[Feature Request] 规则管理页面点击确定时提示“是否添加正在编辑的规则”

感谢贵团队制作的冰境软件，比Process Monitor好用不少（更流畅易用）

但是有一个小细节Process Monitor做的比较好，就是在编辑规则的时候，如果没有Add正在编辑的规则就直接点击确定的话，Procmon会有以下提示You did not add the item you were editing. Add it now?

希望冰镜可以改进这一点，因为经常忘记Add规则就直接点击确定，导致白编辑了哈哈

进程模块依赖和堆栈无法正常显示

如图所示，符号路径设置好了，但是这两个功能都无法使用

系统是 Windows11
iMonitor版本是2.5.3

考虑增加一个bootlogging功能

建议增加一个Procmon的bootlogging功能，对于分析开机引导的恶意程序非常有用。

实现如下：
1、通过GUI写驱动服务自启、写驱动配置(捕获哪些数据、捕获多久/多大后自动停止还是手动停止、记录保存在哪里)；
2、重启系统后，驱动根据配置开始捕获数据，并写入记录文件到指定目录(procmon默认在windows目录，后缀为pmb文件)；
3、再次运行GUI程序时，检测是否为bootlogging状态(若此时还未重启系统，则不应检测bootlogging状态)，是则提示是否停止捕获，并转换记录展示在GUI界面。

[bug] 记录添加列时crash

建议：未分组列可设置为显示最后一条记录的结果或支持按某列排序

用途：如 Result 列设为显示显示最后一条记录的结果，可用于快速判断一个dll是否查找成功：

目前只能把Result列也分组，查看不在一起的两条记录，不太方便。也可以支持按列排序来解决这个问题。

[Feature Request] 增加自动保存记录选项

原因：希望这个软件能帮助诊断 Windows 未知原因关机的问题 (由第三方软件触发的关机)
实现：希望能增加自动保存记录到硬盘的功能 (如果能增加接收到关机事件时触发保存的选项那更好)

"丢弃被过滤事件"开关的疑问

使用中发现“丢弃被过滤事件”开关不会考虑以下5个开关的状态：