GhostTrace

اعثر على ما تركته البرمجيات خلفها على ويندوز، قبل أن تجد طريقها للعودة.

GhostTrace هي أداة محلية لصيد الآثار الجنائية على ويندوز، مصممة لمستجيبي الحوادث، ومدراء الأنظمة، والمستخدمين المتقدمين المهتمين بالأمان. تقوم بتعيين آثار الاستمرارية، والتنفيذ، والنشاط، والبقايا في سجل قابل للمراجعة، ثم تقدم تنظيفًا مقيدًا بشدة فقط عندما تختاره صراحةً.

تحميل | المتطلبات | بدء سريع | القدرات | نموذج الأمان | خارطة الطريق | البرتغالية (البرازيل)

لماذا GhostTrace

إلغاء تثبيت تطبيق لا يزيل دائمًا بصمته التشغيلية. إدخالات بدء التشغيل، والمهام المجدولة، وأدلة التنفيذ المخزنة مؤقتًا، وقيم السجل، والخدمات، والمجلدات يمكن أن تبقى بعد فترة طويلة من إبلاغ المثبّت بالنجاح.

تحوّل GhostTrace هذا السؤال الواسع إلى تحقيق محلي مركّز:

• مطاردة واحدة مركّزة عبر NN وحدة جنائية.
• أدلة حسب المصدر، مع الاحتفاظ بالنتائج والأخطاء والبيانات الوصفية لكل وحدة.
• غير متصل بالإنترنت بطبيعته، دون أي قياس عن بُعد أو رفع بيانات أو اعتماد على السحابة.
• مخرجات جاهزة للتدقيق، بما في ذلك سجلات TXT، ومخرجات JSON للمجمعات الموجهة، وسجلات التنظيف.
• تنظيف يتحكم فيه الإنسان، وليس معالجة تلقائية أبدًا.

المتطلبات

تحقق من تنزيلك

يقرأ GhostTrace أصناف ويندوز المحمية ويعمل بصلاحيات مرتفعة. تحقق من المثبّت قبل تنفيذه، خاصةً على جهاز تحقق فيه.

Get-FileHash .\GhostTrace-1.5.0-x64.msi -Algorithm SHA256

قارن النتيجة مع SHA256SUMS.txt المنشور مع كل إصدار.

المثبّت غير موقّع بالكود بعد، لذا سيشير إليه SmartScreen وبعض منتجات EDR عند أول تشغيل. تحقق من التجزئة بدلاً من تجاهل التحذير.

بدء سريع

التثبيت

نزّل أحدث MSI بصيغة x64 من الإصدارات:

GhostTrace-<version>-x64.msi

الحزمة مكتفية ذاتيًا، لذا لا يحتاج الجهاز المستهدف إلى وقت تشغيل .NET مثبت مسبقًا. شغّل GhostTrace كمسؤول للوصول إلى أصناف ويندوز المحمية.

ابحث عن اسم برمجية

GhostTrace.CLI scan --name nvidia

يُظهر التدفق التفاعلي التقدم، ويجمع النتائج حسب التقنية، ويمكنه تصدير سجل للتحقيق. إذا وُجدت مرشحات تنظيف آمنة، يجب عليك تحديدها وكتابة عبارة تأكيد قبل حدوث أي إزالة.

مثال مختصر لما ينتجه ذلك:

$ GhostTrace.CLI scan --name nvidia

  MODULE                        FINDINGS  STATUS
  PersistenceScanModule                2  OK
  ScheduledTasksScanModule             1  OK
  TaskCacheScanModule                  1  PartialSuccess
  PrefetchScanModule                   4  OK

  [Persistence] HKLM\...\Run\NvBackend
      -> C:\Program Files\NVIDIA Corporation\Update Core\NvBackend.exe (missing)

  [Ghost Task] TaskCache\Tree entry with no COM counterpart (T1053.005)
      \NvProfileUpdaterOnLogon_{...}

  TaskCacheScanModule: PartialSuccess. 2 keys unreadable (access denied).

تشغيله في الأتمتة

GhostTrace.CLI scan --name nvidia --quiet --output C:\Cases\Host1

--quiet ينشئ سجل TXT غير تفاعلي. فشل كتابة التقرير يُرجع رمز خروج غير صفري، لذا لا تنجح الأتمتة بصمت دون صنف.

الأوامر الأساسية

اختر لغة الواجهة باستخدام --lang:

GhostTrace.CLI scan --name nvidia --lang en
GhostTrace.CLI --lang pt-BR

رموز الخروج

من الجمع إلى المراجعة

1. يشغّل GhostTrace الوحدات المتاحة للجمع المحدد.
2. تُرجع كل وحدة نتائجها وأخطاءها وبياناتها الوصفية الخاصة.
3. يعرض CLI ملخصًا موجزًا ويكتب سجلًا محليًا عند الطلب.
4. تُكتب أي عملية تنظيف محددة في سجل تدقيق منفصل.

ما يجمعه

الأمان الجنائي

GhostTrace هو مجمع للقراءة فقط افتراضيًا. يستهدف سير عمل التنظيف بقايا البرمجيات، وليس المعالجة التلقائية للبرمجيات الخبيثة.

• لا توجد استدعاءات شبكة، أو قياس عن بُعد، أو رفع أدلة، أو حساب سحابي مطلوب.
• يبدأ التنظيف بدون أي عنصر محدد مسبقًا ويتطلب تحديدًا صريحًا بالإضافة إلى تأكيد مكتوب.
• مخابئ التنفيذ وسجلات النشاط ليست أبدًا مرشحات للتنظيف.
• الدليل قابل للإزالة فقط عندما يكون مباشرةً تحت جذر موثوق، ويطابق الاسم المستهدف تمامًا، وليس نقطة ربط أو رابطًا رمزيًا.
• مطابقات الأسماء الجزئية تصبح FilesystemTraceHint: قابلة للإبلاغ، وغير قابلة للإزالة أبدًا.
• تُكتب تقارير JSON بشكل ذري، مع الحفاظ على تقرير موجود حتى يكتمل بديله.
• Ctrl+C يلغي بشكل تعاوني ربط المهام المجدولة وقراءة ملفات Prefetch.

النتيجة دليل، وليست حكمًا. فسّرها مع الجدول الزمني للجهاز، وبيئتك، وعملية الاستجابة للحوادث لديك.

ما ليست GhostTrace

• ليست مضاد فيروسات وليست أداة معالجة برمجيات خبيثة.
• ليست أداة جنائية للذاكرة. تقرأ أصناف القرص والسجل فقط.
• ليست مجمعًا عن بُعد. تفحص الجهاز المحلي.
• ليست محرك أحكام. تُبلغ عن أدلة ليفسّرها محلل.

مخرجات تناسب التحقيق

PartialSuccess تعني أن الوحدة أنتجت نتائج ولكنها واجهت أيضًا قيدًا. اقرأ أخطاء تلك الوحدة قبل اعتبار النتيجة الغائبة مصدرًا نظيفًا.

مبني ليكون موثوقًا

• طلبات السحب تستعيد وتبني وتختبر على ويندوز باستخدام .NET 10.
• بوابة الإصدار تختبر GhostTrace.sln الكامل قبل بناء MSI.
• كل من src/GhostTrace.Tests وtests/GhostTrace.Tests.Unit مدرجان في الحل وCI.
• الإصدارات المستقرة تقبل فقط وسوم v<major>.<minor>.<patch>.
• GhostTrace مُصدرة بموجب رخصة MIT.

إلغاء التثبيت

أزل GhostTrace عبر الإعدادات > التطبيقات > التطبيقات المثبتة، أو من موجه مرتفع:

msiexec /x GhostTrace-1.5.0-x64.msi /qn

التقارير وسجلات التنظيف المكتوبة في دليل المخرجات لا تُزال بواسطة أداة إلغاء التثبيت. احذفها يدويًا عند إغلاق القضية.

التوثيق

• دليل ربط المهام المجدولة
• خارطة طريق المنتج
• قرارات تجربة المستخدم والهندسة المعمارية
• دليل مشروع الاختبار
• README بالبرتغالية (البرازيل)

المساهمة

المساهمات مرحب بها. أبقِ المجمعات للقراءة فقط، وانشر CancellationToken، وأظهر فجوات التغطية كأخطاء في النتائج، وأدرج اختبارات مع تغييرات السلوك. تبرز خارطة الطريق المجالات عالية التأثير التالية.

تدعم GhostTrace التحقيق. تحقق من كل صنف في سياق الجهاز، وجدوله الزمني، وإجراءات التشغيل لديك.