🎯 Windows хранит миниатюры удалённых фото и это подарок для форензики

Вирусный пост на 1,7 млн просмотров пугал, что Windows тайно сохраняет превью каждого удалённого фото. На деле всё проще: миниатюры оседают в кеше thumbcache_*.db.

Но для расследователя это интереснее страшилки – превью остаётся в базе даже после удаления оригинала. Полноразмерное фото по нему не вернуть, а вот узнать человека или место по мелкой копии часто можно.

И это не единственный след: рядом Windows копит Prefetch, историю USB и известные Wi-Fi-сети. «Удалить» давно не значит «стереть» – сюда форензика смотрит в первую очередь.

🎤 Чтиво

#Forensics #DFIR #Windows / White Hat / max.ru/kind_hack