devzinh/ghosttraceماسح جنائي للقراءة فقط لآثار البرامج — الثبات، أدلة التنفيذ (Prefetch، Shimcache، BAM)، نشاط المستخدم والربط بمهام Ghost Tasks. أكثر من 20 وحدة مرتبطة بـ MITRE ATT&CK.
اعثر على ما تركته البرمجيات خلفها على ويندوز، قبل أن تجد طريقها للعودة.
GhostTrace هي أداة محلية لصيد الآثار الجنائية على ويندوز، مصممة لمستجيبي الحوادث، ومدراء الأنظمة، والمستخدمين المتقدمين المهتمين بالأمان. تقوم بتعيين آثار الاستمرارية، والتنفيذ، والنشاط، والبقايا في سجل قابل للمراجعة، ثم تقدم تنظيفًا مقيدًا بشدة فقط عندما تختاره صراحةً.
تحميل | المتطلبات | بدء سريع | القدرات | نموذج الأمان | خارطة الطريق | البرتغالية (البرازيل)
إلغاء تثبيت تطبيق لا يزيل دائمًا بصمته التشغيلية. إدخالات بدء التشغيل، والمهام المجدولة، وأدلة التنفيذ المخزنة مؤقتًا، وقيم السجل، والخدمات، والمجلدات يمكن أن تبقى بعد فترة طويلة من إبلاغ المثبّت بالنجاح.
تحوّل GhostTrace هذا السؤال الواسع إلى تحقيق محلي مركّز:
| العنصر | المتطلب |
|---|---|
| نظام التشغيل | ويندوز 10 أو 11، x64 |
| الصلاحيات | مسؤول، مطلوب لقراءة الأصناف المحمية |
| وقت التشغيل | لا شيء. حزمة MSI مكتفية ذاتيًا. |
| القرص | ~NN ميجابايت مثبتة، بالإضافة إلى مساحة لمخرجات التقرير |
يقرأ GhostTrace أصناف ويندوز المحمية ويعمل بصلاحيات مرتفعة. تحقق من المثبّت قبل تنفيذه، خاصةً على جهاز تحقق فيه.
Get-FileHash .\GhostTrace-1.5.0-x64.msi -Algorithm SHA256
قارن النتيجة مع SHA256SUMS.txt المنشور مع كل إصدار.
المثبّت غير موقّع بالكود بعد، لذا سيشير إليه SmartScreen وبعض منتجات EDR عند أول تشغيل. تحقق من التجزئة بدلاً من تجاهل التحذير.
نزّل أحدث MSI بصيغة x64 من الإصدارات:
GhostTrace-<version>-x64.msi
الحزمة مكتفية ذاتيًا، لذا لا يحتاج الجهاز المستهدف إلى وقت تشغيل .NET مثبت مسبقًا. شغّل GhostTrace كمسؤول للوصول إلى أصناف ويندوز المحمية.
GhostTrace.CLI scan --name nvidia
يُظهر التدفق التفاعلي التقدم، ويجمع النتائج حسب التقنية، ويمكنه تصدير سجل للتحقيق. إذا وُجدت مرشحات تنظيف آمنة، يجب عليك تحديدها وكتابة عبارة تأكيد قبل حدوث أي إزالة.
مثال مختصر لما ينتجه ذلك:
$ GhostTrace.CLI scan --name nvidia
MODULE FINDINGS STATUS
PersistenceScanModule 2 OK
ScheduledTasksScanModule 1 OK
TaskCacheScanModule 1 PartialSuccess
PrefetchScanModule 4 OK
[Persistence] HKLM\...\Run\NvBackend
-> C:\Program Files\NVIDIA Corporation\Update Core\NvBackend.exe (missing)
[Ghost Task] TaskCache\Tree entry with no COM counterpart (T1053.005)
\NvProfileUpdaterOnLogon_{...}
TaskCacheScanModule: PartialSuccess. 2 keys unreadable (access denied).
GhostTrace.CLI scan --name nvidia --quiet --output C:\Cases\Host1
--quiet ينشئ سجل TXT غير تفاعلي. فشل كتابة التقرير يُرجع رمز خروج غير صفري، لذا لا تنجح الأتمتة بصمت دون صنف.
| الهدف | الأمر |
|---|---|
| فتح القائمة التفاعلية | GhostTrace.CLI |
| تشغيل فرز شامل | GhostTrace.CLI scan |
| البحث عن تطبيق مسمى | GhostTrace.CLI scan --name <n> |
| كتابة سجل فحص مناسب للنصوص البرمجية | GhostTrace.CLI scan --name <n> --quiet --output <directory> |
| ربط COM لجدولة المهام وTaskCache | GhostTrace.CLI scan-tasks-correlate-json --output <report.json> |
| فحص دليل أو مفتاح سجل أو سجل أحداث | scan-fs-json, scan-reg-json, scan-evt-json |
اختر لغة الواجهة باستخدام --lang:
GhostTrace.CLI scan --name nvidia --lang en
GhostTrace.CLI --lang pt-BR
| الرمز | المعنى |
|---|---|
0 | اكتمل الفحص وكُتب أي تقرير مطلوب |
1 | وسائط غير صالحة أو بيئة غير مدعومة |
2 | فشل كتابة التقرير |
3 | أُلغي بواسطة المشغّل |
| المجال | مصادر الأدلة |
|---|---|
| الاستمرارية | Run/RunOnce، بدء التشغيل، الخدمات، Winlogon، IFEO، AppInit، LSA، Active Setup، WMI، والمهام المجدولة |
| التنفيذ | Prefetch، Shimcache، BAM/DAM، UserAssist، وMUICache |
| نشاط المستخدم | سجل PowerShell، سجل RDP الصادر، RecentDocs، USB، وأصناف الشبكة |
| البرمجيات المثبتة والبقايا | إدخالات إلغاء التثبيت، StartupApproved، Program Files، ProgramData، وآثار AppData |
| ربط المهام المجدولة | تناقضات COM وTaskCache المستخدمة للتحقيق في المهام الشبحية (T1053.005) |
الاستمرارية
| الوحدة | المصدر |
|---|---|
PersistenceScanModule | مجلدات Run/RunOnce وبدء التشغيل |
ServicesScanModule | قيم ImagePath للخدمات وبرامج التشغيل |
AsepScanModule | Winlogon، IFEO، AppInit، LSA، وActive Setup |
ScheduledTasksScanModule | COM لجدولة المهام، بما في ذلك المهام المخفية |
TaskCacheScanModule | شذوذ TaskCache\Tree |
WmiPersistenceScanModule | __EventFilter، __EventConsumer، والروابط |
التنفيذ والنشاط
| الوحدة | المصدر |
|---|---|
PrefetchScanModule | ملفات .pf لويندوز 10/11، بما في ذلك ضغط XPRESS-Huffman |
ShimcacheScanModule | AppCompatCache |
BamScanModule | سجلات BAM/DAM حسب SID |
UserAssistScanModule | عمليات إطلاق الواجهة الرسومية وعدّادات الاستخدام |
MuiCacheScanModule | MUICache للصدفة |
PowerShellHistoryScanModule | سجل PSReadLine وإشارات الأوامر المشبوهة |
RdpConnectionScanModule | سجل اتصالات RDP الصادرة |
RecentDocsScanModule | RecentDocs لمستكشف الملفات |
UsbDeviceScanModule | سجل USBSTOR |
NetworkArtifactsScanModule | ملف Hosts وملفات تعريف الشبكة المعروفة |
GhostTrace هو مجمع للقراءة فقط افتراضيًا. يستهدف سير عمل التنظيف بقايا البرمجيات، وليس المعالجة التلقائية للبرمجيات الخبيثة.