Analiza archivos del journal USN ($UsnJrnl:$J) de Windows NTFS íntegramente en tu navegador. Los archivos nunca salen de tu equipo.
Ejemplo: archivos sintéticos de una intrusión ficticia (equipo FIN-WKS-07). Sin datos reales.
Los archivos nunca salen de tu equipo.
$J es un flujo NTFS oculto y bloqueado: el Explorador, copy y robocopy dan un archivo vacío o un error de acceso. La primera pestaña te da los bytes reales en unos dos minutos.
$J (+ $MFT)Necesitas: KAPE (gratuito, de Kroll) descomprimido en el equipo o en una memoria USB, y una consola abierta como administrador en la carpeta de KAPE.
kape.exe --tsource C: --tdest C:\triage --target $J,$MFT$J se interpreta como variable).\kape.exe --tsource C: --tdest C:\triage --target '$J,$MFT'Resultado: C:\triage\C\$Extend\$J / C:\triage\C\$MFT. Suelta aquí la carpeta C:\triage\C, o un ZIP de ella.
kape.exe --tsource C: --tdest C:\triage --target KapeTriageEl target compuesto KapeTriage ya incluye $J y $MFT. Comprime la carpeta de salida en ZIP y suéltalo: solo se leen el journal y la $MFT, el resto se ignora.
Crea un recolector offline con el artefacto Windows.Triage.Targets del proyecto Velociraptor Triage (antes Windows.KapeFiles.Targets en versiones anteriores) y selecciona los targets J y MFT (o KapeTriage). Ejecútalo como administrador en el equipo y suelta aquí el ZIP de la colección tal cual.
Windows.Forensics.Usn, en cambio, analiza el journal en el propio equipo: genera una tabla de registros, no el $J en bruto que lee este parser.
File → Add Evidence Item → Image File y abre el .E01 / .dd.[root] → $Extend → $UsnJrnl.$J (no $Max) → Export Files…. Exporta [root] → $MFT de la misma forma.Móntala en solo lectura y ejecuta el comando de KAPE sobre la letra de unidad montada (aquí E:):
kape.exe --tsource E: --tdest C:\triage --target $J,$MFT$Extend (registro MFT 11) y anota la dirección que aparece antes de $UsnJrnl:$J, p. ej. 64-128-4fls image.dd 11 | grep UsnJrnl$J: sustituye <address> por esa direcciónicat image.dd <address> > UsnJrnl-J.bin$MFT (registro 0) para obtener rutas completasicat image.dd 0 > MFT.binImagen de disco completo en lugar de un solo volumen: añade -o y el sector de inicio de la partición (según mmls image.dd) a cada comando. Después suelta aquí los dos archivos .bin juntos.
$J) en el volumen del sistema: misma ruta en todas las versiones de WindowsC:\$Extend\$UsnJrnl:$J\$Extend\$UsnJrnl:$J$MFT (opcional, mismo volumen): convierte los nombres de archivo sueltos en rutas completasC:\$MFTSuelta $J y $MFT juntos, su carpeta o un ZIP (no 7z / RAR / gzip). Si la colección tiene varios volúmenes, eliges qué journal abrir; $Max se reconoce y se omite.
fsutil usn queryjournal C:Un Maximum Size distinto de cero significa que el journal está activo. Si fsutil indica que el journal no está activo, no hay nada que recopilar en ese volumen.
copy o robocopy nunca obtienen el journal: $J requiere un lector NTFS en bruto (las herramientas de arriba) y permisos de administrador en un equipo en vivo.$Max, no $J, y la salida de fsutil usn readjournal es texto, no un journal. Una larga serie de ceros al inicio de $J es normal.Pensado para el triaje
Un port a WebAssembly de un parser en Rust probado en campo, dentro de un espacio de trabajo diseñado para las preguntas que de verdad se le hacen a un diario USN.
Detecta picos de actividad de un vistazo y haz clic en una barra para filtrar la tabla a esa ventana.
Añade la $MFT del volumen y cada registro obtiene su ruta resuelta, no solo el nombre del archivo.
Un clic para creaciones, renombrados, sobrescrituras o borrados; combinable con texto y rango horario.
Señala ráfagas sostenidas de DataOverwrite + RenameNewName, la firma de un cifrado en curso.
Exporta exactamente lo filtrado — a Timeline Explorer, un SIEM o mactime.
Los registros llegan mientras se analiza y la tabla sigue fluida gracias al renderizado virtualizado.
Cada análisis se conserva en este navegador con sus filtros. Ponle nombre, vuelve mañana y sigue donde lo dejaste.
Suelta un ZIP de KAPE o Velociraptor, o una carpeta: $J y $MFT se localizan y emparejan por volumen, y se explica todo lo que no sirve.
Cómo funciona
Extrae \$Extend\$UsnJrnl:$J con KAPE, FTK Imager o RawCopy — y la $MFT si quieres rutas completas.
El análisis corre en un Web Worker en tu equipo. Nada se sube, nada se registra.
Filtra, pivota en la línea de tiempo, abre cualquier registro y exporta lo que necesites.
El journal USN (Update Sequence Number) es un registro de cambios que NTFS mantiene para cada creación, eliminación, renombrado y modificación de metadatos de archivo en un volumen. Vive en el flujo de datos alternativo \$Extend\$UsnJrnl:$J y es una de las fuentes más ricas de evidencia temporal en forense de Windows.
Leer la guía completa del journal USN de NTFS →Respuesta a incidentes, reconstrucción de líneas de tiempo de intrusión, análisis de ransomware, investigaciones de amenazas internas — cualquier caso donde necesites un historial de actividad de archivos, incluso después de su eliminación.
Los archivos de journal contienen huellas de cada acción en el volumen — sensibles por naturaleza. Esta herramienta envía un parser WebAssembly directamente a tu máquina; el archivo nunca llega a nuestros servidores y no hay nada que registrar.
Gratis, privado y de código abierto. Suelta un diario y lee la historia del volumen.
Abrir un archivo $J