ردپایی جدید در ویندوز برای فارنزیک

یک آرتیفکت جدید در ویندوز ۱۱ نسخه ۲۲H2 معرفی شده است که اطلاعاتی درباره اجرای برنامه‌ها ارائه می‌دهد. این آرتیفکت در مسیر زیر قرار دارد:

C:\Windows\appcompat\pca

در این مسیر، سه فایل متنی با نام‌های زیر وجود دارند:

- PcaAppLaunchDic.txt
- PcaGeneralDb0.txt
- PcaGeneralDb1.txt

این فایل‌ها توسط سرویس "Program Compatibility Assistant" (PCA) تولید می‌شوند.

جزئیات فایل‌ها

PcaAppLaunchDic.txt
این فایل متنی به صورت ANSI (کدگذاری CP-1252) ذخیره شده و هر خط آن شامل مسیر کامل فایل اجرایی و زمان آخرین اجرای آن است. فرمت هر خط به صورت زیر است:


{مسیر کامل فایل اجرایی}|{زمان آخرین اجرا}


زمان اجرا به صورت UTC و در فرمت YYYY-MM-DD HH:MM:SS.f ثبت می‌شود. این فایل می‌تواند به عنوان منبعی برای شناسایی زمان اجرای برنامه‌ها مورد استفاده قرار گیرد.

PcaGeneralDb0.txt و PcaGeneralDb1.txt
این دو فایل به صورت متنی با کدگذاری UTF-16LE ذخیره شده‌اند و هر خط آن‌ها شامل هشت فیلد جدا شده با کاراکتر | است. این فایل‌ها اطلاعاتی درباره رویدادهای مرتبط با فرآیندها، مانند خروج غیرعادی یا اجرای برنامه‌ها، ارائه می‌دهند. هنگامی که حجم فایل اصلی `PcaGeneralDb0.txt به ۲ مگابایت می‌رسد، فایل ثانویه PcaGeneralDb1.txt جایگزین آن می‌شود و این چرخه ادامه می‌یابد.

اهمیت در تحقیقات جرم‌یابی دیجیتال

این آرتیفکت‌ها می‌توانند به عنوان منابعی برای شناسایی اجرای برنامه‌ها، به‌ویژه در مواردی که اطلاعاتی در Prefetch یا Amcache موجود نیست، مورد استفاده قرار گیرند. به عنوان مثال، PcaAppLaunchDic.txt می‌تواند زمان آخرین اجرای برنامه‌ها را نشان دهد، در حالی که PcaGeneralDb0.txt و PcaGeneralDb1.txt اطلاعاتی درباره رویدادهای مرتبط با فرآیندها ارائه می‌دهند.

ابزارهای تحلیل

برای تحلیل این آرتیفکت‌ها، ابزارهایی مانند اسکریپت PowerShell به نام PCAParser توسعه داده شده‌اند. همچنین، ابزارهایی مانند KAPE نیز می‌توانند برای استخراج و تحلیل این داده‌ها مورد استفاده قرار گیرند.


🕹دوره CISSP واتس اپ 09902857290
💐شرکت هامون 20 از هزینه را تقبل کرده است لذا تخفیف 20 درصدی اختصاصی شرکت هامون برای شما تعلق می‌گیرد تا ۱۰ اردیبهشت

#آکادمی_روزبه

https://aboutdfir.com/new-windows-11-pro-22h2-evidence-of-execution-artifact/