GhostTrace

Trova ciò che il software ha lasciato dietro di sé su Windows, prima che faccia ritorno.

GhostTrace è un cacciatore di tracce forensi locali per Windows, pensato per responder di incidenti, amministratori di sistema e utenti avanzati attenti alla sicurezza. Mappa persistenza, esecuzione, attività e artefatti residui in un registro revisionabile, offrendo poi una pulizia strettamente limitata solo quando la scegli esplicitamente.

Download | Requisiti | Avvio rapido | Funzionalità | Modello di sicurezza | Roadmap | Portoghese (Brasile)

Perché GhostTrace

La disinstallazione di un'applicazione non sempre rimuove la sua impronta operativa. Voci di avvio, attività pianificate, prove di esecuzione memorizzate nella cache, valori di registro, servizi e cartelle possono rimanere molto tempo dopo che il programma di installazione ha riportato il successo.

GhostTrace trasforma questa ampia domanda in un'indagine locale e mirata:

• Una caccia mirata su NN moduli forensi.
• Prove per fonte, con risultati, errori e metadati mantenuti per ogni modulo.
• Offline by design, senza telemetria, caricamenti o dipendenza dal cloud.
• Output pronto per l'audit, inclusi record TXT, output JSON per i collector diretti e log di pulizia.
• Pulizia controllata dall'utente, mai una correzione automatica.

Requisiti

Verifica il tuo download

GhostTrace legge artefatti Windows protetti e viene eseguito con privilegi elevati. Verifica il programma di installazione prima di eseguirlo, soprattutto su un host che stai investigando.

Get-FileHash .\GhostTrace-1.5.0-x64.msi -Algorithm SHA256

Confronta il risultato con SHA256SUMS.txt pubblicato con ogni release.

Il programma di installazione non è ancora firmato con codice, quindi SmartScreen e alcuni prodotti EDR lo segnaleranno al primo avvio. Verifica l'hash piuttosto che ignorare l'avviso.

Avvio rapido

Installazione

Scarica l'ultimo MSI x64 da Releases:

GhostTrace-<versione>-x64.msi

Il pacchetto è autonomo, quindi la macchina di destinazione non necessita di un runtime .NET preinstallato. Esegui GhostTrace come Amministratore per accedere agli artefatti Windows protetti.

Caccia a un nome di software

GhostTrace.CLI scan --name nvidia

Il flusso interattivo mostra l'avanzamento, raggruppa i risultati per tecnica e può esportare un record dell'indagine. Se esistono candidati sicuri per la pulizia, devi selezionarli e digitare una frase di conferma prima che avvenga qualsiasi rimozione.

Un esempio ridotto di ciò che produce:

$ GhostTrace.CLI scan --name nvidia

  MODULE                        FINDINGS  STATUS
  PersistenceScanModule                2  OK
  ScheduledTasksScanModule             1  OK
  TaskCacheScanModule                  1  PartialSuccess
  PrefetchScanModule                   4  OK

  [Persistence] HKLM\...\Run\NvBackend
      -> C:\Program Files\NVIDIA Corporation\Update Core\NvBackend.exe (mancante)

  [Ghost Task] TaskCache\Tree voce senza controparte COM (T1053.005)
      \NvProfileUpdaterOnLogon_{...}

  TaskCacheScanModule: PartialSuccess. 2 chiavi non leggibili (accesso negato).

Eseguilo in automazione

GhostTrace.CLI scan --name nvidia --quiet --output C:\Cases\Host1

--quiet crea un record TXT non interattivo. Un errore di scrittura del report restituisce un codice di uscita diverso da zero, così l'automazione non riesce silenziosamente senza un artefatto.

Comandi essenziali

Scegli la lingua dell'interfaccia con --lang:

GhostTrace.CLI scan --name nvidia --lang en
GhostTrace.CLI --lang pt-BR

Codici di uscita

Dalla raccolta alla revisione

1. GhostTrace esegue i moduli disponibili per la raccolta selezionata.
2. Ogni modulo restituisce i propri risultati, errori e metadati.
3. La CLI visualizza un riepilogo conciso e scrive un record locale quando richiesto.
4. Qualsiasi operazione di pulizia selezionata viene scritta in un log di audit separato.

Cosa raccoglie

Sicurezza forense

GhostTrace è un collector di sola lettura per impostazione predefinita. Il suo flusso di pulizia mira ai residui software, non alla correzione automatica del malware.

• Nessuna chiamata di rete, telemetria, caricamento di prove o account cloud richiesto.
• La pulizia inizia senza alcun elemento preselezionato e richiede selezione esplicita più conferma digitata.
• Le cache di esecuzione e le cronologie di attività non sono mai candidate alla pulizia.
• Una directory è rimovibile solo quando si trova direttamente sotto una radice attendibile, corrisponde esattamente al nome target e non è un junction o symlink.
• Le corrispondenze parziali del nome diventano FilesystemTraceHint: segnalabili, mai rimovibili.
• I report JSON vengono scritti atomicamente, preservando un report esistente finché la sostituzione non è completata.
• Ctrl+C annulla in modo cooperativo la correlazione delle attività pianificate e la lettura dei file Prefetch.

Un risultato è una prova, non un verdetto. Interpretalo con la timeline dell'host, il tuo ambiente e il tuo processo di risposta agli incidenti.

Cosa GhostTrace non è

• Non è un antivirus e non è uno strumento di correzione del malware.
• Non è uno strumento di analisi della memoria. Legge solo artefatti su disco e nel Registro.
• Non è un collector remoto. Ispeziona l'host locale.
• Non è un motore di verdetti. Riporta prove che un analista deve interpretare.

Output adatti all'indagine

PartialSuccess significa che un modulo ha prodotto risultati ma ha anche incontrato una limitazione. Leggi gli errori di quel modulo prima di considerare un risultato assente come una fonte pulita.

Progettato per essere affidabile

• Le pull request ripristinano, compilano e testano su Windows con .NET 10.
• Il gate di release testa l'intera GhostTrace.sln prima di compilare l'MSI.
• Sia src/GhostTrace.Tests che tests/GhostTrace.Tests.Unit sono inclusi nella soluzione e nella CI.
• Le release stabili accettano solo tag v<major>.<minor>.<patch>.
• GhostTrace è rilasciato sotto la Licenza MIT.

Disinstallazione

Rimuovi GhostTrace tramite Impostazioni > App > App installate, o da un prompt elevato:

msiexec /x GhostTrace-1.5.0-x64.msi /qn

I report e i log di pulizia scritti nella tua directory di output non vengono rimossi dal programma di disinstallazione. Eliminali manualmente quando il caso è chiuso.

Documentazione

• Playbook di correlazione delle attività pianificate
• Roadmap del prodotto
• Decisioni su UX e architettura
• Guida al progetto di test
• README in portoghese (Brasile)

Contribuire

I contributi sono benvenuti. Mantieni i collector in sola lettura, propaga CancellationToken, segnala le lacune di copertura come errori di risultato e includi test con le modifiche di comportamento. La roadmap evidenzia le prossime aree ad alto impatto.

GhostTrace supporta l'investigazione. Valida ogni artefatto nel contesto dell'host, della sua timeline e delle tue procedure operative.