Anti‑forensics: spor efter sletning og manipulation

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

Forsøg på at fjerne spor lykkes sjældent helt. Et sletteværktøj skal installeres og køres, en log skal ryddes af en konto med rettigheder, og ændrede tidsstempler passer sjældent med resten af filsystemet. Selv når indholdet er væk, kan selve handlingen ofte påvises og dateres. Det kan være et relevant fund i en civil sag, men det skal tolkes varsomt, fordi mange af de samme værktøjer og funktioner bruges til helt almindelig vedligeholdelse.

Artiklen handler udelukkende om at opdage og dokumentere den slags spor. Den beskriver ikke, hvordan spor fjernes.

Kategorier af anti-forensics

Sikker sletning · Filer eller ledig plads overskrives af et rengørings- eller sletteprogram
Rydning af historik · Browserhistorik, seneste filer og jump lists ryddes
Rydning af logs · Hændelseslogs eller serverlogs tømmes eller slettes
Ændring af tidsstempler · Oprettet- og ændret-tidspunkter sættes til andre værdier
Fjernelse af skyggekopier · Tidligere versioner af filer fjernes fra systemet
Geninstallation · Operativsystemet installeres forfra, eller enheden nulstilles
Ændring af systemuret · Uret stilles, mens filer oprettes eller ændres

For hver kategori gælder det samme princip: Handlingen kræver et program, en kommando eller en systemfunktion, og den aktivitet registreres som regel et andet sted end i de data, der blev fjernet.

Spor efter kørte programmer

Et program, der er kørt på Windows, efterlader typisk spor flere steder:

Prefetch: programnavn, antal kørsler og de seneste kørselstidspunkter, når Prefetch er aktivt på systemet.
Amcache og ShimCache: oplysninger om programfiler, der har været til stede, herunder sti og i visse tilfælde hashværdi.
UserAssist og BAM i registreringsdatabasen: programmer startet af den enkelte bruger, med tidspunkter.
Installationsspor: afinstallationsnøgler, programmapper, genveje og installationslogs.
Programmets egne filer: konfiguration og logs, som kan vise, hvilke områder der var valgt, og hvornår programmet sidst blev kørt.

Kombinationen er stærk: Et rengøringsprogram, der ifølge Prefetch er kørt første gang dagen efter en opsigelse, og hvis konfiguration viser, at netop browserhistorik og seneste filer var valgt, giver et mere præcist billede end hvert spor alene. Kilderne er beskrevet nærmere i Windows-artefakter.

Spor i filsystemet

NTFS-ændringsjournalen ($UsnJrnl) registrerer oprettelse, omdøbning og sletning af filer. Visse sletteværktøjer omdøber en fil flere gange til tilfældige navne, før den slettes. Det giver et karakteristisk mønster i journalen: mange omdøbninger af samme MFT-post på kort tid, efterfulgt af sletning. Mønsteret kan identificeres, selv når filens indhold ikke kan gendannes.

$LogFile og $MFT kan supplere. Journalerne har en begrænset størrelse og overskrives løbende, så deres værdi falder med tiden. Sporene efter selve sletteværktøjerne og efter en formateret eller wipet disk er beskrevet i Oprydningsprogrammer og sletteværktøjer og Formateret eller wipet?. På SSD’er med TRIM er chancen for at gendanne indholdet af slettede filer desuden lav, men metadata i journalerne kan stadig være bevaret.

Ryddede hændelseslogs

Rydning af en hændelseslog i Windows logges i sig selv:

1102 · Log: Security · Betydning: Sikkerhedsloggen er ryddet
104 · Log: System · Betydning: En anden log er ryddet

Hændelsen angiver, hvilken konto der ryddede loggen, og hvornår. Er loggen fjernet på anden vis, kan det i stedet vise sig som en log, der begynder pludseligt uden de forventede opstartshændelser, eller som huller i de fortløbende hændelsesnumre (EventRecordID). Huller kan dog også skyldes rotation eller fejl, så de skal sammenholdes med logstørrelse og konfiguration. Se Logfiler og logrotation.

Ændrede tidsstempler

NTFS gemmer tidsstempler to steder for hver fil: i $STANDARD_INFORMATION og i $FILE_NAME. Almindelige programmer og systemkald ændrer typisk kun det første. Tegn på manipulation kan være:

$STANDARD_INFORMATION er ældre end $FILE_NAME uden en naturlig forklaring,
tidsstempler, hvor brøkdelene af sekundet er præcis nul, mens andre filer i samme mappe har tilfældige værdier,
filer, der ifølge tidsstemplet er ældre end den Windows-installation, de ligger på,
uoverensstemmelse med $UsnJrnl, LNK-filer eller dokumentets interne metadata, se Dokumentforfalskning.

Hvert tegn har legitime undtagelser. Udpakning af arkiver, kopiering fra andre filsystemer og visse synkroniseringsklienter sætter tidsstempler, der ligner manipulation. En konklusion kræver derfor flere uafhængige tegn og en vurdering af de alternative forklaringer.

Ændring af systemuret

Windows logger ændring af systemtiden som hændelse 4616 i sikkerhedsloggen. Ifølge Microsoft registreres hændelsen uanset revisionsindstillingen, og den viser både den gamle og den nye tid samt den konto og proces, der foretog ændringen. Almindelige justeringer fra Windows’ tidstjeneste giver også hændelsen, typisk med kontoen LOCAL SERVICE. Spring i hændelseslogs, hvor senere poster har tidligere tidsstempler end foregående poster, kan også afsløre det. Tidssynkronisering giver dog også små spring, og ved visning i lokal tid kan skiftet til og fra sommertid ligne et spring. Begge dele skal skilles fra. Se Tidslinjeanalyse.

Geninstallation og nulstilling

En ny installation fjerner de fleste brugerspor, men selve installationen kan dateres, fx via installationsdatoen i registreringsdatabasen og oprettelsestidspunkterne for systemfiler. En mappe med den tidligere installation kan være bevaret. En geninstallation kort efter en opsigelse kan være relevant i sig selv, særligt hvis den ikke er udført af IT-afdelingen. Virksomhedens side af den situation er beskrevet i Offboarding uden at miste beviser.

Sikring, når manipulation mistænkes

Mistanken om sletning eller manipulation ændrer ikke metoden, men den skærper kravene til den. Sporene efter anti-forensics ligger ofte i flygtige eller roterende kilder, og de forsvinder hurtigt ved fortsat brug af enheden.

Tag en fuld forensisk kopi af disken frem for en målrettet kopi af udvalgte mapper. Mange af sporene ligger i systemfiler, journaler og ledig plads, som en logisk kopi ikke får med.
Sikr skyggekopier og backup, før de roteres. De kan indeholde den tilstand, der gik forud for sletningen.
Sikr centrale logs fra servere, SIEM og cloudtjenester. De ligger uden for den undersøgte enhed og kan ikke ryddes fra den.
Undgå at starte værktøjer på den originale enhed, der selv skriver til Prefetch, journaler eller registreringsdatabasen, medmindre det er nødvendigt og dokumenteret.
Notér, hvem der har haft adgang til enheden siden den relevante periode. Det er grundlaget for at vurdere alternative forklaringer senere.

Hvad fraværet viser

Manglende spor er også et fund, hvis spor burde være der:

ingen browserhistorik på en computer, der er brugt dagligt,
tomme jump lists og ingen LNK-filer i seneste elementer,
en papirkurv, der er tømt, og en ændringsjournal, der begynder for nylig.

Rapporten bør skelne mellem “der er ingen spor af aktiviteten” og “sporene, der normalt ville findes, er fjernet”. Det første er et neutralt fund. Det andet kræver dokumentation af, hvad der normalt ville være til stede på et tilsvarende system med samme konfiguration.

Tolkning

Rengøringsprogrammer bruges ofte rutinemæssigt. Tidspunktet, omfanget og ændringer i mønsteret er afgørende.
Et værktøj, der er installeret, er ikke nødvendigvis kørt, og et værktøj, der er kørt, har ikke nødvendigvis slettet noget relevant. Hvert led i den slutning skal underbygges af selvstændige spor.
Automatisk vedligeholdelse kan slette eller overskrive data uden brugerens medvirken.
Andre forklaringer, fx at IT-afdelingen har nulstillet computeren, skal undersøges, før fundet tillægges vægt.
Hvad sletning betyder juridisk, efter at en tvist er opstået, er et spørgsmål for advokaten og retten. Se Bevarelsespligt og litigation hold.

Hvert fund dokumenteres med kilde, rå værdi, tidspunkt og de alternative forklaringer, der er overvejet. Se Rapportskrivning.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: AI i egen analyse: dokumentation og efterprøvelighed · Fejlkilder i digital forensics: oversigt · Teknisk ordbog

→ Digital forensics-undersøgelse · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik