Positive Technologies показала восстановление удаленных логов Windows через карвинг

Positive Technologies опубликовала методику восстановления журналов событий Windows (EVTX) при помощи карвинга — побайтового поиска сигнатур формата прямо в сыром образе диска или памяти. Это актуально, когда вымогатели шифруют виртуальные машины и повреждают файловую систему настолько, что стандартные инструменты не могут её смонтировать.

Карвинг позволяет восстановить события, которые физически сохранились, минуя файловую систему и экономя время на реконструкцию. Команда PT ESC IR разработала подход для автоматизации разбора артефактов при реагировании на киберинциденты.