Oprydningsprogrammer og sletteværktøjer: spor efter brug

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Et oprydningsprogram fjerner spor, men selve brugen af programmet er også et spor. Det efterlader typisk tegn på, at det har været til stede, at det er kørt, hvilke indstillinger der var valgt, og hvilken effekt det havde på resten af systemet. I en civil sag er det sjældent det slettede indhold, der kan genskabes; det er brugen af værktøjet og tidspunktet for den, der kan dokumenteres. Artiklen beskriver kun opdagelse og dokumentation. Den generelle oversigt over manipulation findes i anti-forensics: spor efter sletning og manipulation.

Fire kategorier med forskellige spor

• Systemrensere · Tømmer midlertidige filer, browserdata, seneste filer, miniaturebilleder og lignende lister
• Browserrensere og indbyggede browserfunktioner · Sletter historik, cookies og cache i en eller flere profiler
• Filsletning med overskrivning · Overskriver og sletter udvalgte filer eller mapper
• Rensning af fri plads og hele drev · Overskriver ledig plads eller hele lagermediet

Kategorien bestemmer, hvor man skal lede. En systemrenser efterlader et mønster af tomme lister. Et værktøj til filsletning efterlader et mønster i filsystemets journal. Rensning af fri plads efterlader store midlertidige filer, der oprettes og slettes. En helt overskrevet disk er et eget emne, fordi sporene så må findes uden for disken.

Spor af tilstedeværelse og kørsel

De kilder, der viser, at et program har været på computeren og er blevet kørt, er beskrevet i detaljer i Prefetch, Amcache og Shimcache. For oprydningsprogrammer er især følgende nyttige:

• Installationsspor: afinstallationsnøglen i registreringsdatabasen, programmappen, genveje og installationshændelser. Se hvem installerede programmet?.
• Portable versioner: Mange værktøjer findes i en udgave, der kører direkte fra en mappe eller et USB-drev uden installation. Her er Prefetch, Amcache, UserAssist og BAM de vigtigste kilder, og USB-sporene kan vise, hvilket drev programmet kom fra.
• Download: Browserens downloadhistorik og Zone.Identifier på installationsfilen kan vise, hvornår og hvorfra programmet blev hentet.
• Proceslogning: Event 4688 eller Sysmon med kommandolinje viser kørsel og parametre, hvis logningen var aktiv.
• Planlagte opgaver: Mange systemrensere opretter en planlagt opgave til automatisk rengøring. Den skelner mellem rutine og en manuel kørsel på et bestemt tidspunkt.

Spor af konfigurationen

Programmets egne indstillinger er ofte det mest præcise spor. Mange værktøjer gemmer valgte rengøringskategorier, seneste kørsel, statistik over fjernede elementer og undtagelser i registreringsdatabasen under brugerens NTUSER.DAT, i en .ini-fil eller i en konfigurationsfil i programmappen. Nogle fører en egen log over, hvad der blev slettet. Hvor præcist det er, afhænger af produkt og version, og det skal testes på samme version, før det bruges som grundlag for en konklusion.

Spor af effekten

Effekten ses som huller, der ikke passer med en computer i daglig brug:

• Tomme eller nulstillede lister: RecentDocs, jump lists, shellbags og MRU-lister, der er tomme eller kun indeholder poster efter et bestemt tidspunkt.
• Nyoprettede databaser: En browserhistorik, hvis database er oprettet for nylig og kun har få dages indhold, selv om browseren har været brugt i årevis.
• Miniaturebilleder og Windows Search: Caches, der er genopbygget fra et bestemt tidspunkt.
• Hændelseslogs: En ryddet log efterlader normalt selv en hændelse om rydningen, fx 1102 i Security-loggen.
• Skyggekopier: Sletning af Volume Shadow Copies kan ses som hændelser og som manglende kopier i en periode, hvor de ellers burde findes.

Den stærkeste dokumentation kommer ofte fra skyggekopier og backup, der viser, hvordan listerne så ud før oprydningen. Se Volume Shadow Copies som bevis.

Mønstre i filsystemet

NTFS-ændringsjournalen $UsnJrnl registrerer oprettelse, omdøbning, overskrivning og sletning. Værktøjer til sikker sletning giver ofte et karakteristisk forløb: gentagne omdøbninger af samme post til meningsløse navne, skrivning i hele filen og derefter sletning. Rensning af fri plads ses som store midlertidige filer, der vokser og slettes. Journalen har en begrænset størrelse og overskrives løbende, så værdien falder hurtigt efter hændelsen. Teknikken er beskrevet i NTFS i dybden.

På SSD’er med TRIM er indholdet af slettede filer sjældent tilgængeligt uanset værktøj, så her er metadata og journaler endnu vigtigere end gendannelse.

Sikring, når oprydning mistænkes

Mistanken opstår ofte, fordi en computer ser påfaldende ren ud. Så gælder det om ikke at gøre ondt værre:

1. Brug ikke computeren videre, og kør ikke selv oprydning, antivirus eller opdateringer. Hver kørsel skriver i de samme journaler, som skal analyseres.
2. Tag en fuld forensisk kopi, ikke kun en kopi af brugerens filer. Journaler, registreringsdatabase, skyggekopier og ledig plads er det, der bærer analysen.
3. Sikr backup og cloudsynkronisering fra perioden før oprydningen. OneDrive, filserver og backup kan rumme de filer og lister, der er væk lokalt.
4. Hent centrale logs, fx EDR, softwareinventar og proceslogning, som ligger uden for computerens rækkevidde og derfor ikke berøres af oprydning på selve maskinen.
5. Notér tidspunkter: hvornår blev mistanken rejst, hvornår blev computeren taget ud af drift, og hvem har brugt den i mellemtiden.

En tidslinje med oprydningen sat i forhold til sagens nøgledatoer er ofte det, der gør fundet forståeligt for andre, se massesletning: tekniske tegn.

Fejlkilder

• Windows’ egen oprydning: Diskoprydning og Lagringsfornemmelse sletter midlertidige filer og papirkurv automatisk.
• Sikkerhedsprogrammer og forudinstallerede værktøjer: Antivirus og producentens hjælpeprogrammer har ofte rengøringsmoduler, der kører efter tidsplan.
• Rutinebrug: Et program, der har kørt hver uge i årevis, er noget andet end en første kørsel dagen efter en opsigelse. Sammenlign med en baseline over tid.
• Flere brugere: Kørsel i én brugerprofil siger ikke noget om de andre profiler.
• Tidsstempler kan være manipuleret: Kontrollér mod journaler og eksterne kilder.

Hvad sporene kan og ikke kan vise

Sporene kan vise, at et bestemt oprydningsprogram var til stede, at det blev kørt på bestemte tidspunkter, med hvilke indstillinger, og at bestemte kategorier af spor forsvandt i samme tidsrum. De kan sjældent vise, præcis hvilke filer eller hvilket indhold der blev fjernet, og de viser ikke uden videre formålet. Om en oprydning efter en tvist er opstået har betydning for bevisvurderingen, er et juridisk spørgsmål, som behandles i når data er slettet: bevisforspildelse.

Dokumentation

Beskriv program og version, kilden til hver observation (artefakt, sti og tidsstempel), tidszone, hvordan rutine er skilt fra enkeltkørsel, og hvordan konfigurationsfundene er testet. Skeln skarpt mellem observation (programmet blev kørt kl. 21.14) og vurdering (kørslen fjernede sandsynligvis seneste filer), og angiv den usikkerhed, der knytter sig til vurderingen. Er programmets konfiguration testet på en referencemaskine, skal testen beskrives, så en anden sagkyndig kan gentage den med samme version og få samme resultat.

Kilder og versioner

• Microsoft Learn: Change Journals
• Microsoft Learn: Event 1102, The audit log was cleared
• NIST SP 800-88 Rev. 2: Guidelines for Media Sanitization

Senest gennemgået: oktober 2026.

Næste skridt

• Filsystemer sammenlignet: NTFS, APFS, ext4, exFAT og ReFS

Del af: Sikring: metoderne samlet

Læs også: exFAT og FAT32: tidsstempler og sletning på flytbare medier · Formateret eller wipet? Tekniske tegn på en overskrevet disk

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT