GhostTrace

Scopri cosa il software lascia su Windows, prima che ritorni.

GhostTrace è un cacciatore di tracce forensi locali per Windows per responder agli incidenti, amministratori di sistema e utenti avanzati attenti alla sicurezza. Mappa la persistenza, l'esecuzione, l'attività e gli artefatti rimasti in un registro esaminabile, quindi offre una pulizia strettamente limitata solo quando la scegli esplicitamente.

Scarica | Avvio rapido | Capacità | Modello di sicurezza | Roadmap | Portoghese (Brasile)

Perché GhostTrace

Disinstallare un'applicazione non sempre rimuove la sua impronta operativa. Voci di avvio, attività pianificate, prove di esecuzione memorizzate nella cache, valori del registro di sistema, servizi e cartelle possono rimanere molto tempo dopo che il programma di installazione segnala il successo.

GhostTrace trasforma questa domanda ampia in un'indagine locale mirata:

• Una caccia mirata attraverso 22 moduli forensi.
• Prove per fonte, con risultati, errori e metadati mantenuti per modulo.
• Offline per progettazione, senza telemetria, caricamenti o dipendenza dal cloud.
• Output pronto per audit, inclusi registri TXT, output JSON per collettori diretti e log di pulizia.
• Pulizia controllata dall'uomo, mai bonifica automatica.

Avvio rapido

Installa

Scarica l'ultimo MSI x64 dai Rilasci:

GhostTrace-<version>-x64.msi

Il pacchetto è autonomo, quindi la macchina di destinazione non necessita di un runtime .NET preinstallato. Esegui GhostTrace come Amministratore per accedere agli artefatti Windows protetti.

Caccia a un nome di software

GhostTrace.CLI scan --name nvidia

Il flusso interattivo mostra i progressi, raggruppa i risultati per tecnica e può esportare un registro dell'indagine. Se esistono candidati sicuri per la pulizia, devi selezionarli e digitare una frase di conferma prima che avvenga qualsiasi rimozione.

Eseguilo in automazione

GhostTrace.CLI scan --name nvidia --quiet --output C:\Cases\Host1

--quiet crea un registro TXT non interattivo. Un errore di scrittura del report restituisce un codice di uscita diverso da zero, quindi l'automazione non riesce silenziosamente senza un artefatto.

Comandi essenziali

Scegli la lingua dell'interfaccia con --lang:

GhostTrace.CLI scan --name nvidia --lang en
GhostTrace.CLI --lang pt-BR

Dalla raccolta alla revisione

1. GhostTrace esegue i moduli disponibili per la raccolta selezionata.
2. Ogni modulo restituisce i propri risultati, errori e metadati.
3. La CLI visualizza un riepilogo conciso e scrive un registro locale quando richiesto.
4. Qualsiasi operazione di pulizia selezionata viene scritta in un registro di audit separato.

Cosa raccoglie

Moduli di persistenza

Moduli di esecuzione e attività

Sicurezza forense

GhostTrace è un collettore di sola lettura per impostazione predefinita. Il suo flusso di lavoro di pulizia mira ai residui software, non alla bonifica automatica del malware.

• Non sono richieste chiamate di rete, telemetria, caricamento di prove o account cloud.
• La pulizia inizia senza elementi preselezionati e richiede selezione esplicita più conferma digitata.
• Le cache di esecuzione e le cronologie delle attività non sono mai candidate alla pulizia.
• Una directory è rimovibile solo quando si trova direttamente sotto una radice attendibile, corrisponde esattamente al nome del target e non è un junction o symlink.
• Le corrispondenze parziali di nome diventano FilesystemTraceHint: segnalabili, mai rimovibili.
• I report JSON vengono scritti atomicamente, preservando un report esistente fino al completamento della sostituzione.
• Ctrl+C annulla in modo cooperativo la correlazione delle attività pianificate e la lettura dei file Prefetch.

Un risultato è una prova, non un verdetto. Interpretalo con la cronologia dell'host, il tuo ambiente e il tuo processo di risposta agli incidenti.

Output che si adattano all'indagine

PartialSuccess significa che un modulo ha prodotto risultati ma ha anche incontrato una limitazione. Leggi gli errori di quel modulo prima di considerare un risultato assente come fonte pulita.

Costruito per essere fidato

• Le pull request ripristinano, compilano e testano su Windows con .NET 10.
• Il gate di rilascio testa l'intero GhostTrace.sln prima di compilare l'MSI.
• Sia src/GhostTrace.Tests che tests/GhostTrace.Tests.Unit sono inclusi nella soluzione e nella CI.
• I rilasci stabili accettano solo tag v<major>.<minor>.<patch>.
• GhostTrace è rilasciato sotto Licenza MIT.

Cronologia stelle

Tieni traccia della cronologia pubblica delle stelle del progetto su Star History.

Documentazione

• Playbook di correlazione attività pianificate
• Roadmap del prodotto
• Decisioni UX e architettura
• Guida al progetto di test
• README in portoghese (Brasile)

Contributi

I contributi sono benvenuti. Mantieni i collettori in sola lettura, propaga CancellationToken, segnala le lacune di copertura come errori di risultato e includi test con modifiche del comportamento. La roadmap evidenzia le prossime aree ad alto impatto.

GhostTrace supporta le indagini. Convalida ogni artefatto nel contesto dell'host, della sua cronologia e delle tue procedure operative.