GhostTrace

Trouvez ce que les logiciels laissent derrière eux sur Windows, avant que cela ne revienne vous hanter.

GhostTrace est un outil local de recherche de traces forensiques Windows destiné aux intervenants en réponse à incident, aux administrateurs système et aux utilisateurs avancés soucieux de sécurité. Il cartographie la persistance, l'exécution, l'activité et les artefacts résiduels dans un enregistrement consultable, puis propose un nettoyage strictement encadré uniquement lorsque vous le choisissez explicitement.

Télécharger | Prérequis | Démarrage rapide | Capacités | Modèle de sécurité | Feuille de route | Portugais (Brésil)

Pourquoi GhostTrace

Désinstaller une application ne supprime pas toujours son empreinte opérationnelle. Les entrées de démarrage, les tâches planifiées, les preuves d'exécution en cache, les valeurs de registre, les services et les dossiers peuvent subsister longtemps après que l'installateur ait signalé un succès.

GhostTrace transforme cette vaste question en une enquête locale ciblée :

• Une chasse ciblée à travers NN modules forensiques.
• Des preuves par source, avec les résultats, erreurs et métadonnées conservés par module.
• Hors ligne par conception, sans télémétrie, envoi de données ni dépendance au cloud.
• Des sorties prêtes pour l'audit, incluant des enregistrements TXT, des sorties JSON pour les collecteurs ciblés et des journaux de nettoyage.
• Un nettoyage contrôlé par l'humain, jamais de remédiation automatique.

Prérequis

Vérifier votre téléchargement

GhostTrace lit des artefacts Windows protégés et s'exécute avec des privilèges élevés. Vérifiez l'installateur avant de l'exécuter, en particulier sur un hôte que vous examinez.

Get-FileHash .\GhostTrace-1.5.0-x64.msi -Algorithm SHA256

Comparez le résultat avec SHA256SUMS.txt publié avec chaque version.

L'installateur n'est pas encore signé avec un certificat de code, donc SmartScreen et certains produits EDR le signaleront au premier lancement. Vérifiez le hachage plutôt que d'ignorer l'avertissement.

Démarrage rapide

Installation

Téléchargez le dernier MSI x64 depuis Releases :

GhostTrace-<version>-x64.msi

Le paquet est autonome, donc la machine cible n'a pas besoin d'un runtime .NET préinstallé. Exécutez GhostTrace en tant qu'Administrateur pour accéder aux artefacts Windows protégés.

Rechercher un nom de logiciel

GhostTrace.CLI scan --name nvidia

Le flux interactif affiche la progression, regroupe les résultats par technique et peut exporter un enregistrement de l'enquête. Si des candidats au nettoyage sûrs existent, vous devez les sélectionner et saisir une phrase de confirmation avant toute suppression.

Un exemple réduit de ce que cela produit :

$ GhostTrace.CLI scan --name nvidia

  MODULE                        FINDINGS  STATUS
  PersistenceScanModule                2  OK
  ScheduledTasksScanModule             1  OK
  TaskCacheScanModule                  1  PartialSuccess
  PrefetchScanModule                   4  OK

  [Persistence] HKLM\...\Run\NvBackend
      -> C:\Program Files\NVIDIA Corporation\Update Core\NvBackend.exe (missing)

  [Ghost Task] TaskCache\Tree entry with no COM counterpart (T1053.005)
      \NvProfileUpdaterOnLogon_{...}

  TaskCacheScanModule: PartialSuccess. 2 keys unreadable (access denied).

L'exécuter en automatisation

GhostTrace.CLI scan --name nvidia --quiet --output C:\Cases\Host1

--quiet crée un enregistrement TXT non interactif. Un échec d'écriture du rapport renvoie un code de sortie non nul, afin que l'automatisation ne réussisse pas silencieusement sans artefact.

Commandes essentielles

Choisissez la langue de l'interface avec --lang :

GhostTrace.CLI scan --name nvidia --lang en
GhostTrace.CLI --lang pt-BR

Codes de sortie

De la collecte à l'examen

1. GhostTrace exécute les modules disponibles pour la collecte sélectionnée.
2. Chaque module renvoie ses propres résultats, erreurs et métadonnées.
3. La CLI affiche un résumé concis et écrit un enregistrement local lorsque demandé.
4. Toute opération de nettoyage sélectionnée est écrite dans un journal d'audit séparé.

Ce qu'il collecte

Sécurité forensique

GhostTrace est un collecteur en lecture seule par défaut. Son flux de nettoyage cible les résidus logiciels, pas la remédiation automatique des logiciels malveillants.

• Aucun appel réseau, télémétrie, envoi de preuves ou compte cloud requis.
• Le nettoyage commence sans élément présélectionné et exige une sélection explicite plus une confirmation tapée.
• Les caches d'exécution et les historiques d'activité ne sont jamais des candidats au nettoyage.
• Un répertoire n'est supprimable que s'il se trouve directement sous une racine de confiance, correspond exactement au nom cible et n'est ni une jonction ni un lien symbolique.
• Les correspondances partielles de noms deviennent des FilesystemTraceHint : signalables, jamais supprimables.
• Les rapports JSON sont écrits de manière atomique, préservant un rapport existant jusqu'à ce qu'un remplacement soit terminé.
• Ctrl+C annule de manière coopérative la corrélation des tâches planifiées et la lecture des fichiers Prefetch.

Un résultat est une preuve, pas un verdict. Interprétez-le avec la chronologie de l'hôte, votre environnement et votre processus de réponse à incident.

Ce que GhostTrace n'est pas

• Pas un antivirus et pas un outil de remédiation de logiciels malveillants.
• Pas un outil de forensique mémoire. Il lit uniquement les artefacts disque et registre.
• Pas un collecteur distant. Il inspecte l'hôte local.
• Pas un moteur de verdict. Il rapporte des preuves qu'un analyste doit interpréter.

Des sorties adaptées à l'enquête

PartialSuccess signifie qu'un module a produit des résultats mais a également rencontré une limitation. Lisez les erreurs de ce module avant de considérer un résultat absent comme une source propre.

Conçu pour être fiable

• Les pull requests restaurent, compilent et testent sur Windows avec .NET 10.
• La porte de validation de version teste l'intégralité de GhostTrace.sln avant de construire le MSI.
• src/GhostTrace.Tests et tests/GhostTrace.Tests.Unit sont tous deux inclus dans la solution et la CI.
• Les versions stables n'acceptent que les tags v<major>.<minor>.<patch>.
• GhostTrace est publié sous la Licence MIT.

Désinstallation

Supprimez GhostTrace via Paramètres > Applications > Applications installées, ou depuis une invite élevée :

msiexec /x GhostTrace-1.5.0-x64.msi /qn

Les rapports et journaux de nettoyage écrits dans votre répertoire de sortie ne sont pas supprimés par le désinstalleur. Supprimez-les manuellement lorsque le dossier est clos.

Documentation

• Playbook de corrélation des tâches planifiées
• Feuille de route du produit
• Décisions UX et d'architecture
• Guide du projet de test
• README en portugais (Brésil)

Contribuer

Les contributions sont les bienvenues. Gardez les collecteurs en lecture seule, propagez CancellationToken, signalez les lacunes de couverture comme erreurs de résultat et incluez des tests avec les changements de comportement. La feuille de route met en évidence les prochains domaines à fort impact.

GhostTrace soutient l'enquête. Validez chaque artefact dans le contexte de l'hôte, de sa chronologie et de vos procédures opérationnelles.