Windows registra, in decine di posti spesso ignorati, le tracce di cosa è stato eseguito e quando – artefatti preziosissimi in forensics perché persistono anche dopo che il programma (o il malware) è stato cancellato. I principali:
- Prefetch – Windows crea un file
.pfper ottimizzare l'avvio dei programmi: prova che un eseguibile è stato lanciato, quante volte e quando (l'ultima e le precedenti) - Amcache / Shimcache (AppCompatCache) – registri della compatibilità che tengono traccia degli eseguibili visti dal sistema, con hash e percorsi – catturano anche ciò che è già stato rimosso
- MFT (Master File Table) – il catalogo del filesystem NTFS: timestamp di creazione/modifica/accesso di ogni file, per ricostruire la timeline
- SRUM, Jump List, UserAssist, log eventi – ciascuno un tassello di chi ha fatto cosa quando
Messi insieme in una super-timeline (strumenti come Plaso/log2timeline), raccontano la storia dell'incidente minuto per minuto. È il complemento su disco dell'analisi della RAM: la memoria dice cosa stava girando ora, gli artefatti dicono cosa è successo negli ultimi giorni. E la lezione trasversale: la cancellazione di un file non cancella le prove che sia esistito – un'arma per la difesa, un rischio per chi crede di aver ripulito.