Процесс обнаружения выполняется с помощью комбинации сканеров сбора данных конечных точек и проверки памяти. Инструмент представляет собой автономный двоичный файл, который после выполнения развертывается как служба Windows. После запуска в качестве службы memhunter запускает сбор событий ETW, которые могут указывать на атаки путем внедрения кода. Прямой поток событий собранных данных подается в сканеры проверки памяти, которые используют эвристику обнаружения для выбора потенциальных атак. Весь процесс обнаружения не требует вмешательства человека, дампов памяти и может выполняться самим инструментом в любом масштабе.
Помимо сбора данных и эвристики поиска, проект также привел к созданию сопутствующего инструмента под названием «minjector», который содержит +15 техник внедрения кода. Инструмент minjector может использоваться не только для обнаружения memhunter, но и как универсальное средство для изучения широко известных методов внедрения кода.
