Elcomsoft Quick Triage

Программа предназначена для быстрого извлечения данных из оперативной памяти, непосредственно с жесткого диска компьютера, из файла образа жесткого диска, из снятого образа полной файловой системы мобильного устройства или резервной копии мобильного устройства для последующего криминалистического анализа.

Функциональные характеристики

Функциональные возможности:

• оптимизированные под многопотоковые вычислительные процессы алгоритмы быстрого поиска, обработки, структурирования и сохранения цифровых артефактов.
• сбор информации из компьютера с авторизованной пользовательской сессией Windows, подключенных накопителей, или их криминалистических образов
• встроенная функция автоматического перебора простых паролей на вход в сессию Windows, либо экспорта парольных хэш-сумм для попытки его восстановления во внешнем специализированном программном комплексе
• структурированное дерево заданий для выбора и последующего сбора и сохранения наиболее значимых системных и пользовательских артефактов
• объединение однотипных данных из разных источников
• сохранение образа памяти компьютера с активной пользовательской сессией
• сбор общей информации о системе, включая информацию об аппаратных характеристиках, сетевых и иных настройках, версии операционной системы, учётных записях пользователей, установленных приложениях и компонентах, состоянии накопителей (по данным S.M.A.R.T.)
• сбор данных об установленных и запущенных виртуальных машинах
• поиск и обработка документов, электронной почты и других данных с целью формирования индекса для текстового поиска и фильтрации
• сбор артефактов файловой системы, в том числе:

данные сторонних приложений (поддерживается несколько сотен приложений)

данные Active Directory

файлы баз данных Amcache, Shimcache

артефакты Program Compatibility Assistant

записи базы данных SRUM (System Resource Utilization Monitor)

корзина (Recycle Bin)

планировщик заданий (Scheduled Tasks)

файлы Windows Prefetch

журналы событий Windows

данные Защитника Windows (Windows Defender) и сторонних антивирусов

отчёты об ошибках Windows (Windows Error Reporting)

конфигурации Wi-Fi сетей и сохранённые пароли

база данных поиска Windows

артефакты DPAPI, системные учётные данные, Vault, криптографические ключи и сертификаты

системные журналы IIS, DHCP, DNS и логи установки (Setupapi.log)

образ оперативной памяти (Memory Dump).

• сбор информации об использовании системных ресурсов, включая:

список выполненных программ

список Bluetooth-устройств, дисплеев, ACPI-устройств, а также устройств PCI/SCSI/USB, когда-либо подключавшихся к системе

информация о BIOS, батарее, процессоре, накопителях, оперативной памяти, ином аппаратном обеспечении

полная конфигурация сети

статус использования - службы геолокации, микрофон, веб-камера

список установленных драйверов, обновлений, пакетов драйверов, запущенных служб и библиотек DLL

список системных программ по умолчанию для открытия файлов

список задач в «Планировщике заданий»

пути к разрешённым файлам при контролируемом доступе к папкам

установленные приложения Microsoft Office и их надстройки

список приложений, установленных из Windows Store

• извлечение пользовательских артефактов файловой системы, включая

данные и журналы сторонних приложений

данные приложений Microsoft Office

артефакты ActivitiesCache

уведомления

дампы сбоев (crash dumps)

ф