Исследование содержимого C:\ProgramData🖱

Мы продолжаем цикл статей об исследовании артефактов в компьютерах с ОС Windows⚡️

Сегодня мы разберём содержимое папки %ProgramData% (как правило, C:\ProgramData) — здесь расположены данные приложений и системных служб, относящиеся к системе в целом.

Анализ этой директории помогает восстановить историю использования компьютера и работу встроенного антивируса, отследить факты передачи файлов и установки приложений, а также получить дополнительные подтверждения цифровых доказательств, найденных в других источниках🐾

Обсуждаем интересующие аспекты:

❓База данных диспетчера очередей BITS (QMGR)
❓База данных Windows Search
❓Хранилище отчётов об ошибках Windows (WER)
❓Артефакты Microsoft Defender
❓XML-файлы профилей Wi-Fi
❓Отчёт о беспроводных сетях в формате HTML
❓Кэш локальной групповой политики
❓StateRepository-Machine.srd
❓Программы из меню «Пуск» и папка автозагрузки, общие для всех пользователей
❓Конфигурация OpenSSH Server

Подробнее в нашей новой статье📎