Portable programmer og opstart fra USB: spor efter brug

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Et portabelt program, der køres fra et USB-medie uden installation, efterlader stadig spor i Windows: kørselsartefakter som Prefetch, Amcache og registreringsdatabasen, USB-spor for mediet og ofte genveje og firewallregler. Opstart af et andet operativsystem fra USB efterlader derimod ingen spor i Windows under selve sessionen, men kan ofte opdages indirekte: et hul i hændelsesloggene, ændrede filer uden tilsvarende Windows-aktivitet, BitLocker-hændelser og spor i netværkets logs. Artiklen handler kun om at opdage og dokumentere sådan brug.

Emnet ligger i forlængelse af oprydningsprogrammer og sletteværktøjer og anti-forensics, fordi begge metoder ofte forklares med, at de “ikke efterlader spor”. Det er sjældent rigtigt.

Portable programmer: kørselsspor

Et portabelt program er en eksekverbar fil, der kører direkte fra en mappe eller et medie. Det har ingen installationspost og ingen afinstallation, men Windows registrerer kørslen på samme måde som for andre programmer:

Prefetch på klientudgaver af Windows, hvor det er slået til, med programmets navn, antal kørsler og de seneste kørselstidspunkter, samt de filer og mapper, programmet indlæste, herunder stien på USB-mediet.
Amcache og ShimCache med fuld sti, og for Amcache ofte filens hashværdi, så det præcise program kan identificeres. Se Prefetch, Amcache og ShimCache.
UserAssist og BAM i registreringsdatabasen, der viser kørsel startet af en bestemt bruger med tidspunkt.
SRUM med programmets netværks- og ressourceforbrug pr. time.
Hændelse 4688, hvis procesoprettelse revideres, med fuld sti og eventuelt kommandolinje. EDR og Sysmon registrerer tilsvarende.
Firewallregler, som Windows opretter, når et program første gang vil modtage forbindelser, med stien til programmet.

Stien er nøglen. Et program kørt fra E:\ eller et lignende drevbogstav kan kobles til et bestemt medie via volumens serienummer og USB-sporene. Se USB-spor og tidsstempler i Windows. Programmets egne indstillinger og logfiler ligger typisk på mediet, så selve mediet er en vigtig kilde, hvis det kan sikres.

Hvilke programmer det typisk drejer sig om

I civile sager handler det oftest om portable udgaver af browsere, programmer til filoverførsel og synkronisering, fjernadgangsværktøjer, arkivprogrammer og sletteværktøjer. Kategorien har betydning for, hvilke spor der skal ledes efter. En portabel browser gemmer historik og cookies i sin egen mappe på mediet, ikke i brugerprofilen, så browserhistorikken på computeren viser intet. Et program til filoverførsel efterlader netværksspor i SRUM, firewall og proxy. Et fjernadgangsværktøj har ofte egne logfiler og efterlader spor hos den anden ende. Et sletteværktøj efterlader mønstre i filsystemet, som beskrevet i artiklen om oprydningsprogrammer. Når programmets identitet er fastslået via hashværdien fra Amcache, kan dets dokumenterede adfærd bruges til at målrette resten af undersøgelsen.

Opstart fra USB: hvad der ikke findes

Startes computeren fra et andet operativsystem på et USB-medie, kører Windows ikke. Der skrives ingen logon-hændelser, ingen Prefetch og ingen poster i Windows’ hændelseslogge for selve sessionen. Det er netop derfor, metoden kan bruges til at tilgå filer uden om Windows’ logning. Undersøgelsen skal derfor lede efter indirekte tegn.

Opstart fra USB: indirekte tegn

Huller i hændelsesloggene. Windows logger nedlukning og opstart, og en periode, hvor maskinen var tændt ifølge andre kilder, men ikke ifølge Windows, er et hul. Sammenhold opstarts- og nedlukningshændelser i systemloggen med strømdata, netværkslogs og MDM-kontakt. Se Windows-hændelseslogge.

Ændringer på disken uden Windows-aktivitet. Hvis disken ikke er krypteret, kan et andet system læse og ændre filer. Andre operativsystemers NTFS-drivere opdaterer typisk ikke filsystemets ændringsjournal og tidsstempler på samme måde som Windows. Filer med ændringstidspunkter i et hul, eller ændringer i MFT uden tilsvarende poster i ændringsjournalen, er et tegn, der skal undersøges nærmere. Se NTFS: MFT, UsnJrnl og LogFile.

BitLocker. En krypteret systemdisk kan ikke læses af et andet operativsystem uden gendannelsesnøglen. Microsoft beskriver, at blandt andet ændringer i opstartsrækkefølgen på ældre TPM-udgaver, ændringer i opstartsadministratoren og PXE-opstart kan udløse BitLocker-gendannelse. Gendannelser registreres i BitLocker-loggen på maskinen, og opslag af gendannelsesnøgler i Entra ID registreres i revisionsloggen. Et opslag af nøglen kort før et hul er et stærkt tegn.

Firmware. Mange erhvervscomputere har en hændelseslog i firmwaren og registrerer ændringer i opstartsrækkefølgen, og Secure Boot kan afvise usignerede opstartsmedier. Firmwarens log kan aflæses med producentens værktøjer og skal dokumenteres med fotografi, hvis den kun kan vises på skærmen.

Netværket. Et andet operativsystem på samme hardware anmoder typisk om en IP-adresse med samme MAC-adresse, men med et andet værtsnavn og andre kendetegn. DHCP-loggen kan derfor vise en ukendt klient på maskinens netværkskort i hullet.

Forebyggelse og readiness

Virksomheder, der vil kunne besvare spørgsmålet senere, kan sikre, at kilderne findes på forhånd: revision af procesoprettelse med kommandolinje, logning af flytbare medier, BitLocker med gendannelsesnøgler i Entra ID eller Active Directory, adgangskode til firmwaren og Secure Boot slået til. Det forhindrer ikke al brug, men det giver spor, som kan bruges i en senere undersøgelse, og det gør det lettere at skelne mellem en forklaring og en hændelse. Det er IT-afdelingens valg, og indstillingerne bør beskrives i en politik, så medarbejderne kender dem.

Sikring

Lav en fuld forensisk kopi af disken, og sikr eventuelle USB-medier, der er fundet, via skrivebeskytter.
Sikr hændelseslogge, BitLocker-logs og registreringsdatabasen fra kopien, ikke fra den kørende maskine, hvis det kan undgås.
Eksportér Entra ID-revisionsloggen for opslag af gendannelsesnøgler og MDM-data for maskinens kontakt.
Sikr DHCP- og netværkslogs for perioden, før de roteres.
Dokumentér firmwarens hændelseslog og opstartsindstillinger.

Typiske fejlslutninger

“Ingen installation betyder ingen spor.” Kørselsartefakterne registrerer portable programmer på samme måde som installerede.
“Et hul i loggen betyder opstart fra USB.” Et hul kan skyldes slukket maskine, dvale, strømsvigt eller overskrevne logs. Det skal bekræftes af andre kilder.
“BitLocker-gendannelse betyder indgreb.” Firmwareopdateringer og hardwareændringer udløser også gendannelse.
“Programmet på mediet blev kørt på denne maskine.” Kun kørselsspor på den konkrete maskine viser det.

Hvad sporene kan og ikke kan vise

Sporene kan typisk vise, at et bestemt portabelt program blev kørt fra et bestemt medie af en bestemt bruger og hvornår. For opstart fra USB kan de samlet sandsynliggøre, at maskinen var i brug uden Windows i en periode, og hvad der blev ændret på disken. De kan sjældent vise præcist, hvad der blev gjort under en sådan session, og konklusionen bør formuleres som en vurdering med de alternative forklaringer, der ikke kan udelukkes.

I rapporten

Angiv for hvert program sti, hashværdi, kørselstidspunkter og den bruger, kørslen knyttes til, og for hvert medie serienummer og tilslutningstidspunkter. For et formodet hul skal rapporten vise de kilder, der afgrænser hullet, og de alternative forklaringer, der er undersøgt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: WSL og lokale virtuelle maskiner · Windows-artefakter: LNK, jump lists, shellbags og USB-spor

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik