ANTI-FORENSIC WIN 💋
Рассмотрим несколько интересных методов антикриминалистики в WINDOWS
1. Очистка DNS кеша
ipconfig /flushdns >$null
2. Отключение NTFS Last Access Time
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\FileSystem' -Name 'NtfsDisableLastAccessUpdate' -Value 1 -Force
NtfsDisableLastAccessUpdate = 1: при значении 1 в реестре Windows перестаёт обновлять поле «Дата последнего доступа» к файлам и папкам, когда к ним просто обращаются для чтения (не изменяя при этом содержимое).
fsutil behavior set disablelastaccess 3: дополнительная команда, которая на уровне системы (через утилиту fsutil) указывает Windows не обновлять метку времени последнего доступа.
3. Отключение Prefetch и Superfetch
Prefetch - один из значимых артефактов ОС Windows который позволяет фиксировать запуск ПО на хосте.
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\' -Name 'EnablePrefetcher' -Value 0 -Force
Эти параметры в реестре отвечают за технологии Prefetch и Superfetch.
EnablePrefetcher = 0: при 0 Windows не будет создавать файлы-префетч для приложений (включая системные).
EnableSuperfetch = 0: Superfetch также отключается.
4. Остановка службы Windows Timeline (CDPUserSvc)
Stop-Service -Name CDPUserSvc* -Force 2>$null
CDPUserSvc (Connected Devices Platform) — сервис, который, в частности, отвечает за сбор данных для «Журнала действий», «Таймлайна» и некоторые функции синхронизации с облачными сервисами.
5. Удаление журнала USN (NTFS Change Journal)
fsutil usn deletejournal /d c: 2>$null
Команда fsutil usn deletejournal /d c: удаляет «журнал изменений» (USN Journal) на разделе C:.
Журнал USN (Update Sequence Number Journal) отслеживает все изменения на том или ином томе с файловой системой NTFS — созданы ли файлы, отредактированы, перенесены и т.д.
![ByTe [ ]f Digital Life avatar](/_next/image?url=https%3A%2F%2Fstatic-storm.tglist.com%2Fda1b354b28a3cd215fbc5731e8fd06cb%2Fea23f4f4-087d-4d8a-a17c-2be82838e12d.jpg%3Fw%3D24%26h%3D24&w=48&q=75){kind=small}
