Analise arquivos do journal USN ($UsnJrnl:$J) do Windows NTFS inteiramente no seu navegador. Os arquivos nunca saem da sua máquina.
Exemplo: arquivos sintéticos de uma intrusão fictícia (host FIN-WKS-07). Nenhum dado real.
Os arquivos nunca saem da sua máquina.
$J é um fluxo NTFS oculto e bloqueado: o Explorador, copy e robocopy dão um arquivo vazio ou um erro de acesso. A primeira aba entrega os bytes reais em cerca de dois minutos.
$J (+ $MFT)Você precisa de: KAPE (gratuito, da Kroll) descompactado no host ou em um pendrive, e um console aberto como administrador na pasta do KAPE.
kape.exe --tsource C: --tdest C:\triage --target $J,$MFT$J é lido como variável).\kape.exe --tsource C: --tdest C:\triage --target '$J,$MFT'Resultado: C:\triage\C\$Extend\$J / C:\triage\C\$MFT. Solte aqui a pasta C:\triage\C, ou um ZIP dela.
kape.exe --tsource C: --tdest C:\triage --target KapeTriageO target composto KapeTriage já inclui $J e $MFT. Compacte a pasta de saída em ZIP e solte o ZIP: só o journal e a $MFT são lidos, o resto é ignorado.
Crie um coletor offline com o artefato Windows.Triage.Targets do projeto Velociraptor Triage (antes Windows.KapeFiles.Targets nas versões mais antigas) e selecione os targets J e MFT (ou KapeTriage). Execute-o como administrador no host e solte aqui o ZIP da coleta como está.
Já o Windows.Forensics.Usn analisa o journal no próprio endpoint: gera uma tabela de registros, não o $J bruto que este parser lê.
File → Add Evidence Item → Image File e abra o .E01 / .dd.[root] → $Extend → $UsnJrnl.$J (não $Max) → Export Files…. Exporte [root] → $MFT da mesma forma.Monte-a somente leitura e execute o comando do KAPE na letra de unidade montada (aqui E:):
kape.exe --tsource E: --tdest C:\triage --target $J,$MFT$Extend (registro MFT 11) e anote o endereço mostrado antes de $UsnJrnl:$J, p. ex. 64-128-4fls image.dd 11 | grep UsnJrnl$J: substitua <address> por esse endereçoicat image.dd <address> > UsnJrnl-J.bin$MFT (registro 0) para caminhos completosicat image.dd 0 > MFT.binImagem do disco inteiro em vez de um único volume: acrescente -o e o setor inicial da partição (de mmls image.dd) a cada comando. Depois solte os dois arquivos .bin juntos aqui.
$J) no volume do sistema: mesmo caminho em todas as versões do WindowsC:\$Extend\$UsnJrnl:$J\$Extend\$UsnJrnl:$J$MFT (opcional, mesmo volume): transforma nomes de arquivo soltos em caminhos completosC:\$MFTSolte $J e $MFT juntos, a pasta deles ou um ZIP (não 7z / RAR / gzip). Se a coleta tiver vários volumes, você escolhe o journal a abrir; $Max é reconhecido e ignorado.
fsutil usn queryjournal C:Um Maximum Size diferente de zero significa que o journal está ativo. Se o fsutil informar que o journal não está ativo, não há nada a coletar nesse volume.
copy ou robocopy nunca obtêm o journal: $J exige um leitor NTFS bruto (as ferramentas acima) e direitos de administrador em um host ativo.$Max, não $J, e a saída de fsutil usn readjournal é texto, não um journal. Uma longa sequência de zeros no início de $J é normal.Feito para triagem
Um port em WebAssembly de um parser Rust testado em campo, num espaço de trabalho pensado para as perguntas que realmente se fazem a um journal USN.
Veja picos de atividade num relance e clique numa barra para filtrar a tabela nessa janela.
Adicione a $MFT do volume e cada registro ganha o caminho resolvido, não só o nome do arquivo.
Um clique para criações, renomeações, sobrescritas ou exclusões; combine com texto e intervalo de tempo.
Sinaliza rajadas contínuas de DataOverwrite + RenameNewName, a assinatura de uma criptografia em curso.
Exporte exatamente o que está filtrado — para o Timeline Explorer, um SIEM ou o mactime.
Os registros aparecem durante a análise e a tabela continua fluida graças à renderização virtualizada.
Cada análise fica neste navegador com os seus filtros. Dê um nome, volte amanhã e continue de onde parou.
Solte um ZIP do KAPE ou do Velociraptor, ou uma pasta: $J e $MFT são encontrados e pareados por volume, e o que não serve é explicado.
Como funciona
Extraia \$Extend\$UsnJrnl:$J com KAPE, FTK Imager ou RawCopy — e a $MFT para caminhos completos.
O parser roda num Web Worker na sua máquina. Nada é enviado, nada é registrado.
Filtre, faça pivô na linha do tempo, abra qualquer registro e exporte a fatia que precisar.
O journal USN (Update Sequence Number) é um registro de mudanças que o NTFS mantém para cada criação, exclusão, renomeação e alteração de metadados de arquivo em um volume. Reside no fluxo de dados alternativo \$Extend\$UsnJrnl:$J e é uma das fontes mais ricas de evidência temporal na forense Windows.
Leia o guia completo do journal USN do NTFS →Resposta a incidentes, reconstrução de timelines de intrusão, análise de ransomware, investigações de ameaças internas — qualquer caso em que você precise de um histórico da atividade de arquivos, mesmo após a exclusão.
Arquivos de journal contêm rastros de cada ação no volume — sensíveis por natureza. Esta ferramenta entrega um parser WebAssembly direto à sua máquina; o arquivo nunca chega aos nossos servidores e não há nada para registrar.
Gratuito, privado e de código aberto. Solte um journal e leia a história do volume.
Abrir um arquivo $J