canary token

Недавно на нейкой CTF площадке мне надо было в сыром дампе стековой памяти процесса найти канарейку (просто дамп, а-ля px @ rsp, т.е в дебаггере не открыть, просто байты). Сам быдлоскрипт, конечно, правильно определил, но существуют ли какие-то человеческие способы для такой нестандартной задачи...

Возможно ли задетектить canary token стандартными средствами word? Не беру во внимания специальные утилиты на линукс и просмотр связей уже открытого файла

После создания canary token прилетают каждый день уведомления, что по ним переходят, причем ip разных дата центров, провайдеров, что это и как работает, мб можно остановить?