GhostTrace

Encontre os rastros que um software deixou no Windows, antes que eles voltem a incomodar.

GhostTrace e um caçador local de rastros forenses para Windows, feito para analistas, administradores de sistemas e pessoas que levam a seguranca do proprio ambiente a serio. Ele mapeia persistencia, execucao, atividade e residuos de software em um registro revisavel, oferecendo limpeza estritamente controlada apenas quando voce escolhe faze-la.

Download | Inicio rapido | Capacidades | Seguranca | Roadmap | English

GhostTrace responde uma pergunta simples: o que ainda ficou no sistema depois que um software foi removido?

Em uma unica execucao, a ferramenta coleta evidencia de persistencia, execucao, atividade de usuario e artefatos do sistema. Os achados ficam separados por modulo, podem ser exportados como registros locais e so viram candidatos a limpeza quando passam por regras de confianca restritas.

GhostTrace nao trata um achado como prova conclusiva de comprometimento. Ele preserva e organiza evidencia para a sua analise.

Inicio rapido

Instale

Baixe o MSI x64 mais recente em Releases:

GhostTrace-<version>-x64.msi

O pacote e self-contained, portanto a maquina alvo nao precisa ter o runtime .NET instalado. Execute o GhostTrace como Administrador para acessar artefatos protegidos do Windows.

Investigue um nome

GhostTrace.CLI scan --name nvidia

O modo interativo mostra o progresso, consolida achados e permite exportar o registro da investigacao. Caso existam residuos elegiveis, a limpeza continua opcional: voce escolhe os itens e digita uma frase de confirmacao antes de qualquer remocao.

Automatize uma coleta

GhostTrace.CLI scan --name nvidia --quiet --output C:\Cases\Host1

--quiet nao abre prompts e grava um relatorio TXT. Se o relatorio nao puder ser persistido, o comando retorna um codigo de erro em vez de sinalizar sucesso silenciosamente.

Comandos essenciais

Escolha o idioma da interface com --lang:

GhostTrace.CLI scan --name nvidia --lang pt-BR
GhostTrace.CLI --lang en

Da coleta a revisao

1. GhostTrace executa os modulos disponiveis para a coleta escolhida.
2. Cada modulo retorna seus proprios achados, erros e metadados.
3. A CLI renderiza um resumo e grava um registro local quando solicitado.
4. Qualquer limpeza selecionada ganha um log de auditoria separado.

O que ele coleta

Modulos de persistencia

Modulos de execucao e atividade

Seguranca forense

GhostTrace e um coletor somente leitura por padrao. A limpeza foi desenhada para residuos de software, nao para remediacao automatica de malware.

• A coleta nao transmite dados, exige nuvem ou depende de uma conta.
• Nenhum item de limpeza vem preselecionado: a escolha e manual e requer confirmacao digitada.
• Caches de execucao e historicos ficam fora da limpeza para preservar evidencia.
• Um diretorio so pode ser removido se for filho direto de uma root confiavel, corresponder exatamente ao alvo e nao for junction ou symlink.
• Correspondencias parciais se tornam FilesystemTraceHint: entram no relatorio, nunca na limpeza.
• Relatorios JSON usam gravacao atomica; um relatorio existente so e substituido depois que o novo termina de ser escrito.
• Ctrl+C cancela cooperativamente a correlacao de tarefas e a leitura de Prefetch.

Um achado e evidencia, nao veredito. Interprete-o com a linha do tempo do host, o contexto do ambiente e seu processo de resposta a incidentes.

Saidas para a investigacao

PartialSuccess significa que um modulo produziu achados, mas tambem encontrou uma limitacao. Leia os erros desse modulo antes de considerar uma fonte sem resultado como limpa.

Feito para inspirar confianca

• Pull requests executam restore, build e testes em Windows com .NET 10.
• O gate de release testa toda a GhostTrace.sln antes de construir o MSI.
• src/GhostTrace.Tests e tests/GhostTrace.Tests.Unit fazem parte da solucao e da CI.
• Releases estaveis aceitam somente tags v<major>.<minor>.<patch>.
• GhostTrace e distribuido sob a Licenca MIT.

Historico de estrelas

Acompanhe o historico publico de estrelas no Star History.

Documentacao

• Playbook de correlacao de tarefas agendadas
• Roadmap do produto
• Decisoes de UX e arquitetura
• Guia dos projetos de teste
• README em ingles

Contribuindo

Contribuicoes sao bem-vindas. Mantenha coletores read-only, propague CancellationToken, exponha lacunas de cobertura como erros de resultado e inclua testes com mudancas de comportamento. O roadmap mostra as proximas areas de maior impacto.

GhostTrace apoia a investigacao. Valide cada artefato no contexto do host, de sua linha do tempo e dos procedimentos do seu ambiente.