Analizza i file del journal USN ($UsnJrnl:$J) di Windows NTFS interamente nel tuo browser. I file non lasciano mai la tua macchina.
Esempio: file sintetici di un'intrusione fittizia (host FIN-WKS-07). Nessun dato reale.
I file non lasciano mai la tua macchina.
$J è un flusso NTFS nascosto e bloccato: Esplora file, copy e robocopy restituiscono un file vuoto o un errore di accesso. La prima scheda ti dà i byte reali in circa due minuti.
$J (+ $MFT)Ti serve: KAPE (gratuito, di Kroll) estratto sull’host o su una chiavetta USB, e una console aperta come amministratore nella cartella di KAPE.
kape.exe --tsource C: --tdest C:\triage --target $J,$MFT$J viene letto come variabile).\kape.exe --tsource C: --tdest C:\triage --target '$J,$MFT'Risultato: C:\triage\C\$Extend\$J / C:\triage\C\$MFT. Trascina qui la cartella C:\triage\C, o uno ZIP che la contiene.
kape.exe --tsource C: --tdest C:\triage --target KapeTriageIl target composto KapeTriage include già $J e $MFT. Comprimi la cartella di output in ZIP e trascinalo qui: vengono letti solo il journal e la $MFT, il resto viene ignorato.
Crea un collector offline con l’artefatto Windows.Triage.Targets del progetto Velociraptor Triage (in precedenza Windows.KapeFiles.Targets nelle versioni meno recenti) e seleziona i target J e MFT (o KapeTriage). Eseguilo come amministratore sull’host e trascina qui lo ZIP della raccolta così com’è.
Windows.Forensics.Usn invece analizza il journal direttamente sull’endpoint: produce una tabella di record, non il $J grezzo che legge questo parser.
File → Add Evidence Item → Image File, poi apri il file .E01 / .dd.[root] → $Extend → $UsnJrnl.$J (non $Max) → Export Files…. Esporta [root] → $MFT allo stesso modo.Montala in sola lettura, poi esegui il comando KAPE sulla lettera di unità montata (qui E:):
kape.exe --tsource E: --tdest C:\triage --target $J,$MFT$Extend (record MFT 11) e annota l’indirizzo mostrato prima di $UsnJrnl:$J, ad es. 64-128-4fls image.dd 11 | grep UsnJrnl$J: sostituisci <address> con quell’indirizzoicat image.dd <address> > UsnJrnl-J.bin$MFT (record 0) per i percorsi completiicat image.dd 0 > MFT.binImmagine dell’intero disco invece di un singolo volume: aggiungi -o e il settore iniziale della partizione (da mmls image.dd) a ogni comando. Poi trascina qui insieme i due file .bin.
$J) sul volume di sistema: stesso percorso in ogni versione di WindowsC:\$Extend\$UsnJrnl:$J\$Extend\$UsnJrnl:$J$MFT (facoltativa, stesso volume): trasforma i semplici nomi di file in percorsi completiC:\$MFTTrascina insieme $J e $MFT, la loro cartella o uno ZIP (non 7z / RAR / gzip). Se la raccolta contiene più volumi, scegli tu quale journal aprire; $Max viene riconosciuto e saltato.
fsutil usn queryjournal C:Una Maximum Size diversa da zero indica che il journal è attivo. Se fsutil segnala che il journal non è attivo, su quel volume non c’è nulla da raccogliere.
copy o robocopy non recuperano mai il journal: $J richiede un lettore NTFS raw (gli strumenti sopra) e i diritti di amministratore su un host attivo.$Max, non $J, e l’output di fsutil usn readjournal è testo, non un journal. Una lunga sequenza di zeri all’inizio di $J è normale.Pensato per il triage
Un port WebAssembly di un parser Rust collaudato, in uno spazio di lavoro progettato per le domande che si fanno davvero a un journal USN.
Individua i picchi di attività a colpo d'occhio e clicca una barra per filtrare la tabella su quella finestra.
Aggiungi la $MFT del volume e ogni record ottiene il percorso risolto, non solo il nome del file.
Un clic per creazioni, rinomine, sovrascritture o cancellazioni; combinabile con testo e intervallo orario.
Segnala raffiche sostenute di DataOverwrite + RenameNewName, la firma di una cifratura in corso.
Esporta esattamente ciò che è filtrato — verso Timeline Explorer, un SIEM o mactime.
I record arrivano durante l'analisi e la tabella resta fluida grazie al rendering virtualizzato.
Ogni analisi resta in questo browser con i suoi filtri. Dalle un nome, torna domani e riprendi da dove avevi lasciato.
Trascina uno ZIP di KAPE o Velociraptor, o una cartella: $J e $MFT vengono trovati e abbinati per volume, e ciò che non serve viene spiegato.
Come funziona
Estrai \$Extend\$UsnJrnl:$J con KAPE, FTK Imager o RawCopy — più la $MFT per i percorsi completi.
Il parser gira in un Web Worker sulla tua macchina. Nulla viene caricato, nulla viene registrato.
Filtra, fai pivot sulla timeline, apri qualsiasi record ed esporta la porzione che ti serve.
Il journal USN (Update Sequence Number) è un registro delle modifiche che NTFS mantiene per ogni creazione, eliminazione, rinomina e modifica di metadati di file su un volume. Risiede nel flusso di dati alternativo \$Extend\$UsnJrnl:$J ed è una delle fonti più ricche di evidenze temporali nell'analisi forense di Windows.
Leggi la guida completa al journal USN di NTFS →Incident response, ricostruzione di timeline d'intrusione, analisi di ransomware, indagini su minacce interne — qualsiasi caso in cui serve uno storico dell'attività dei file, anche dopo la loro eliminazione.
I file di journal contengono tracce di ogni azione sul volume — sensibili per natura. Questo strumento consegna un parser WebAssembly direttamente alla tua macchina; il file non raggiunge mai i nostri server e non c'è nulla da registrare.
Gratuito, privato e open source. Trascina un journal e leggi la storia del volume.
Apri un file $J