إليكم نصائح لمنع التحقيق الجنائي الرقمي على أنظمة الويندوز المثبتة على القرص الصلب
,
وهي سلسلة من الإجراءات الشاقة والمملة ولهذا ننصحكم باستخدام أحد أنظمة الحماية ويكون مثبتا على اليوسببي
,,,,,,,,,,,,,,,,,,,,,,,,,,
هناك حيلة ذكية لمنع التحقيق الجنائي الرقمي على أنظمة الويندوز عبر تخصيص 2 من الأقراص الصلبة واحد للنضال والآخر للإستخدام العادي،حيث ستقوم بفك وتركيب قرص صلب مكان الأخر خلال البدء في النضال وبعد الإنهاء منه،وإليكم رابط فيديو يشرح كيفية فك وتركيب القرص الصلب
web.archive.org/web/20240829210812/https://dso8.raed.net:455/files/hd.mp4
وهذه العملية تأخذ 5 دقائق لهذا يجب أن يكن لديك الوقت الكافي للقيام بذلك لو داهمت الشرطة منزلك حيث سيتعين عليك نزع الهارديسك الخاص بالنضال وإخفائه في مكان سري وتركيب الهارديسك العادي مكانه،وهذا يتطلب أن تكون في غرفة بابها من حديد ومغلقة بعدة أقفال من الداخل لتوفير الوقت الكافي لهذه العملية قبل كسر الباب
,,,,,,,,,,,,,,,,,,,,,,,,,,,
نظام الويندوز والأنظمة الأخرى تحتوي على ملفات تسجل كل ما تقوم به وتحتفظ بأسماء الملفات وعناوين المواقع التي فتحتها وهذا يشكل خطرا على جهازك إذا تمت مصادرته وإخضاعه للتحقيق الجنائي الرقمي,والحل هو تجميد النظام ببعض البرامج حيث سيتخلص من كل شئ بعد إعادة تشغيله,وبالتالي سيبقى لنا خيار منع إستعادة الملفات المحذوفة فقط
وإليكم موقع يضم عدة روابط لتحميل عدة برامج تقوم بتجميد النظام
notes.xxi2.com/tajmid
ولكن هذه البرامج لن تحميك كليا من التحقيق الجنائي الرقمي في حالة مصادرة جهازك,لأن برامج تجميد النظام تبقي الملفات التي فتحتها في الويندوز قابلة للإسترداد بالبرامج المخصصة لذالك بالرغم من حذفها وعدم ظهورها لك
.
يجب عمل فورمات لجهازك وبعد الإنتهاء من تثبيت البرامج قم بتجميد النظام,ثم إليكم رابط لصورة تشرح بالتفصيل برنامج ويندوز يقوم بمسح آثار نشاطك على القرص الصلب ومنع إستعادة الملفات المحذوفة منه
web.archive.org/web/20231124182515/https://justpaste.it/img/801300be2ca29217b538f177198e59b0.jpg
وهذه الخطوة هي الأولى والضرورية(هذه العملية لا تحتاج إلى تعطيل برنامج الديب فريز ويمكن القيام بها مع تجميد النظام,وهذا الإجراء مطلوب مرة واحدة فقط وليس كل يوم,بشرط ألا تهمل كل النصائح الموجودة في هذا الموقع)
وقبل مسح المساحة الفارغة للهاردسك ب35 مرة ,تأكد من حذف نقط الإستعادة التي تحتوي على آثار لنشاط الحساس
.
وإذا كانت لديك فلاشة يوسببي و حذفت منها ملفات حساسة فعليك منع استرجاعها بنفس البرنامج اللذي تشرح الصورة أعلاه
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
بعدها يجب وضع البرامج وأدوات التشفير وكل الملفات التي تستخدمها خلال النضال على فلاشة يواسبي منفصلة وتخبئها في مكان لايعرفه حتى الجن الازرق,بحيث ستبقى كل الملفات هناك ولاتنقلها أبدا لسطح المكتب أو أي مكان على القرص الصلب وحتى التنزيلات من الأنترنت يجب حفظها على فلاشة يوسببي ونفس الشئ مع الصور والفيديو ومختلف أنواع المستندات ,وخصوصا الملفات النصية للنوتباد فهي تترك آثار كبير ولهذا قم بفتحها وحفظها داخل برنامج الساندبوكسي ثم إذهب لمجلد الساندبوكسي واتبع مسار حفظها أو ابحث عن إسمها ثم قم بنسخها ولصقها في أحد المجلدات على اليوسبي
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
تحذير
:
أصبح تطبيق النوتباد لنظام الويندوز 11 قادرًا الآن على استعادة علامات التبويب غير المحفوظة عند إعادة فتح التطبيق،وإليكم رابط موقع يشرح ذلك
medium.com/@mahmoudsoheem/new-digital-forensics-artifact-from-windows-notepad-527645906b7b
web.archive.org/web/20241205170907/https://medium.com/@mahmoudsoheem/new-digital-forensics-artifact-from-windows-notepad-527645906b7b
.
وإليكم رابط فيديو يشرح ذلك
youtu.be/zSSBbv2fc2s
أو
web.archive.org/web/20250307041618/https://carl89.oceansaver.in/pacific/
.
مما يعني إمكانية إستعادة المحققين الجنائيين لكل ما نسخته ولصقته في المفكرة حتى إذا لم تقم بحفظها وحتى لو كنت تستخدم برنامج لتجميد النظام مثل الديب فريز
والحل هو تفادي استخدام النوتباد في الويندوز 11 وإلكيم رابط يضم عدة برامج تعتبر أفضل بدائل للمفكرة في الويندوز
duckduckgo.com/
لكن قم بنسخ ولصق ماتريده في هذه البرامج ولا تقم بحفظها،وحفظها يجب أن يكون داخل برنامج الساندبوكسي ثم إذهب لمجلد الساندبوكسي واتبع مسار حفظها أو ابحث عن إسمها ثم قم بنسخها ولصقها في أحد المجلدات على اليوسببي
..........................
تحذير: في الويندوز 10 و 11 يجب تعطيل ميزة حفظ سجل الحافظة يعني إبقاء ما يتم نسخه بالماوس في ذاكرة الرام فقط دون حفظه على القرص الصلب وإليكم موقع يضم روابط تشرح ذلك
duckduckgo.com/
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
يجب تجميد نظام الويندوز مع وضع كل البرامج والملفات الحساسة في اليوسببي وتشغيلها من هناك,ولاكن قبل إدخال مفتاح اليوسببي في حاسوبك يجب تنفيذ هذه الإجراءات
,
إليكم رابط موقع يشرح كل التقنيات التي تمنع التحقيق الجنائي الرقمي لأنظمة ويندوز
web.archive.org/web/20231002143558/https://book.hacktricks.xyz/generic-methodologies-and-resources/basic-forensic-methodology/anti-forensic-techniques
,
إذا كنت تستخدم نظام الويندوز يجب عليك حذف ملف ترحيل صفحات الذاكرة الى القرص الصلب ويسمى
pagefile.sys
ودوره زيادة حجم الرام ,ولهذا حتى إذا قمت بتجميد النظام بالديب فريز وقمت بفتح الملفات الحساسة داخل اليوسببى فقط فإن المحققين يمكنهم إستعادة نسخ من هذا الملف واللذي يضم المعلومات الحساسة وكلمات السر,وإليكم رابط يضم عدة فيديوهات تشرح ذالك ,
duckduckgo.com/
وبعد ذالك أعد أعد تشغيل الجهاز ,وهكذا سوف يختفي الملف,ولكن إذا كان حجم الرام لديك صغير فستصبح غير قادر على تشغيل عدة برامج حيث ستتشنج وتظهر لك شاشة الموت الزرقاء,والحل هو زيادة حجم ذاكرة الوصول العشوائي,وإليكم رابط موقع ستضع فيه إسم وطراز جهازك وسيعطيك تفاصيل حول حجم الرام الممكن زيادته وكيفية تركيبه
memorystock.com
وإليكم رابط موقع لشراء رامات مستعملة بثمن رخيص
www.ebay.com/sch/i.html
ثم ابحث عن طراز موديل الرام لجهازك
DDR,DDR1,DDR2,DDR3,DDR4,DDR5
وليكن في علمك أن نظام الويندوز 32 بت لا يقرأ أكثر من 4 جيغابايت من الرام ولهذا يستحسن تثبيت نسخة ويندوز 64 بت
,
وإذا لم تستطيع إضافة الرام لحاسوبك فيمكنك زيادته عبر اليوسببي,وإليكم روابط تشرح كيفية نقل ملف الذاكرة الظاهرية أو ملف ترحيل الصفحات
pagefile.sys
من الهارديسك إلى فلاشة يوسببي خلال النضال,وفي هذه الحالة سيكون ملف الذاكرة الظاهرية وملف الإسبات على اليوسببي
www.windowscentral.com/how-move-virtual-memory-different-drive-windows-10
web.archive.org/web/20241116230426/https://www.windowscentral.com/how-move-virtual-memory-different-drive-windows-10
ولكن يجب تخصيص 2 من اليوسببي بنفس الإسم,الأول لزيادة الرام خارج النضال والثاني ستستخدمه لزيادة الرام خلال النضال وستقوم بإخفائه بمجرد الإنتهاء ولاتتركه في متناول الشرطة لأنه سيضم معلومات حساسة,وهذا أمر منهك لأنه يتوجب عليك تعطيل الديب فريز وإعادة تشغيل جهازك عدة مرات للتبديل من يوسببي لآخر
وللتسهيل يستحسن نقل ملف ترحيل الصفحات إلى يوسببي واحد ومشفر ببرنامج
veracrypt
ليصبح الملف مشفرا وهذا مهم لتفادي قيام المحققين باسترداده وتحليله
.
ويستحسن زيادة حجم الرام بفلاشة يوسببي إذا كان جهازك يدعم الإصدار الثالث,وإليكم رابط موقع يضم عدة شروحات ل
ReadyBoost
duckduckgo.com/
.
حذاري من شراء مفاتيح اليوسببي الرخيصة لأنها تتلف وتتعطل مع مرور الوقت،بل عليك شرء أفضل ماركات اليوسببي وأغلاها ثمنا لتعمل معك لعقود
,,,,,,,,,,,,,,,,,,,,,
وإليكم روابط لتحميل أداة مكافحة الأدلة الجنائية تعمل على الويندوز64 بت
github.com/PaulNorman01/Forensia
web.archive.org/web/20241016115030/https://github.com/PaulNorman01/Forensia
.
github.com/PaulNorman01/Forensia/releases/tag/ReleaseX64
web.archive.org/web/20240212163627/https://github.com/PaulNorman01/Forensia/releases/tag/ReleaseX64
.
تمسح ذاكرة التخزين المؤقت للشييم،وتمسح ذاكرة التخزين المؤقت للملفات الأخيرة،وتقوم بتفريغ برنامج تشغيل سيمسون،وتقطيع الملفات بطريقة جوتمان35،وتعطل
USNJrnl
وتعطيل جلب البيانات مسبقًا،وتمسح السجل مع تعطيل سجل الأحداث ،وتعطيل وقت تحديث مساعدة المستخدم،وتعطيل وقت الوصول،وتمسح العناصر الأخيرة
,,,,,,,,,,,,,,,,,,,,
إذا كنت تستخدم نظام الويندوز يجب عليك حذف ملف يقوم بحفظ نسخة من الذاكرة خلال سبات الكمبيوتر ويسمى
hiberfil.sys
ولهذا حتى إذا قمت بتجميد النظام بالديب فريز وقمت بفتح الملفات الحساسة داخل اليوسببى فقط فإن المحققين يمكنهم إستعادة نسخ من هذا الملف واللذي يضم المعلومات الحساسة وكلمات السر ,والحل هو تعطيله عبر فتح موجه الأوامر وتشغيله كمسؤول ثم ألصق فيه هذا الكود واضغط موافق
powercfg -h off
,,,,,,,,,,,,,,,,,,,,,,,
إذا كنت تستخدم نظام الويندوز يجب عليك تعطيل سجل أحداث الويندوز لأنه حتى إذا قمت بتجميد النظام بالديب فريز وقمت بفتح الملفات الحساسة داخل اليوسببى فقط فإن المحققين يمكنهم إستعادة نسخ من هذا الملف واللذي يضم معلومات حساسة,والحل هو تعطيله عبر فتح موجه الأوامر وتشغيله كمسؤول ثم ألصق فيه هذا الكود واضغط موافق
sc config eventlog start= disabled
بعدها ألصق فيه هذا الكود واضغط موافق
net start eventlog
ثم قم بإعادة تشغيل الحاسوب
,
إذا كنت تستخدم نظام الويندوز يجب عليك تعطيل ميزة إظهار الصور المصغرة وتسمى
thumbs.db
لأنه حتى إذا قمت بتجميد النظام بالديب فريز وقمت بفتح الملفات الحساسة داخل اليوسببى فقط فإن المحققين يمكنهم إستعادة نسخ من الصور المصغرة للملفات الحساسة التي فتحتها سواء كانت للصور أو للفيديوهات,والحل هو تعطيله عبر فتح خيار إظهار الملفات في مستعرض الويندوز ثم قم بوضع علامة صح على
Always show icons, never thumbnails
أو بالعربية
"إظهار الرموز دائمًا، وعدم إظهار الصور المصغرة"
ثم إضغط موافق وإليكم رابط لصورة توضح ذالك
web.archive.org/web/20230815195723/https://media.askvg.com/articles/images5/Enable_Always_Show_Icons_Never_Thumbnails_Option.png
,
إذا كنت تستخدم نظام الويندوز يجب عليك تعطيل خدمة فهرسة الملفات لأنها تترك آثار لمعلومات حساسة ,والحل هو كتابة
services.msc
في شريط البحث للقائمة إبدأ,وستفتح لك نافذة الخدمات ثم إبحث عن
windows search و SuperFetch
واضغط على كل خدمة مرتين ثم قم بتعطيلها باتباع الخيارات المعروضة
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
هناك طريقتين لتشغيل البرامج والملفات الحساسة من اليوسببي مع تجميد نظام الويندوز دون أن تترك أي أثار على الكمبيوتر
,
الطريقة الأولى هي المثالية لأنها سهلة ومريحة وآمنة تماما ,وتتم عبر فتح درايف اليوسببي عبر برنامج الساندبوكسي قصد تشغيل كل البرامج والملفات الموجودة فيه داخل وعاء الساندبوكسي وهو يشبه آلة وهمية مثل الفيرتيال بوكس,وإليكم رابط لتحميل نسخة من برنامج الساندبوكسي ستعمل معك بدون مشاكل,مع اختيار اللغة العربية خلال تثبيته
web.archive.org/web/20240202183049/https://dl5.filehippo.com/951/a33/960cfc787cf88f0075956833262ce6a02c/SandboxieInstall.exe
(إنتبه:يجب تثبيت برنامج فبن عبر الساندبوكسي وفتح متصفحك عبر الساندبوكسي أيضا)
عند فتح درايف اليوسببي عبر الساندبوكسي فإن أي ملف أو برنامج تضغط عليه سيتم فتحه أو تثبيته في بيئة وهمية وليس في جهازك وعند الإنتهاء ستضغط كليك يمين على أيقونة البرنامج بجوار الساعة ثم تضغط على خيار
defaultbox
ثم تضغط على خيار "حذف محتويات" ثم تضغط على "حذف المحتويات",وهكذا سيتم إيقاف كل العمليات وحذف كل ما فتحته في وعاء الساندبوكسي ولكن الملفات المحذوفة لن تذهب الى جدول القرص الصلب مما يجعلها غير قابلة للإسترداد بالبرامج المخصصة لذالك وهذا شئ مجرب
ولحماية تامة يجب نقل مجلد وعاء الساندبوكسي إلى اليوسببي ولا تتركه على القرص الصلب عبر الضغط على أيقونة البرنامج مرتين ثم تضغط على "وعاء" ثم تضغط على "ضبط مجلد الوعاء" وستجد حرف درايف اليوسببي على اليمين وتضغط عليه ثم إضغط على "موافق",وهذا جد مهم لكي تتجنب عدم حذف المحتويات بسبب إنقطاع مفاجئ للكهرباء وخصوصا إذا كنت تستخدم حاسوب مكتبي,لأنه مع هذا الإجراء سيبقى مجلد الساندبوكسي على اليوسببي حتى لو لم تحذف محتوياته لسبب ما
.
ولكن عند فتح أي ملف بالساندبوكسي لا تضغط أبدا على خيار شغل خارج الوعاء
أما المستندات والصور التي يتم تحريرها وحفظها بتشغيل الساندبوكسي فستجدونها عبر البحث عن إسمها داخل مجلد الساندبوكسي الموجود على اليوسببي (ولكن قبل الضغط على حذف محتوياته) لكي تقوموا بنسخها ولصقها داخل أي مكان في اليوسببي
,
ومع ذلك فإن نظام الويندوز سيسجل آثار نشاطك خلال استخدام الساندبوكسي وإليكم رابط موقع يشرح حلول لذلك
web.archive.org/web/20240329115247/https://sandboxie-plus.github.io/sandboxie-docs/Content/PrivacyConcerns.html
@@@@@@@@@@@@@@@@@@@@@@@@@
الطريقة الثانية (صعبة ومتعبة) عبر فتح البرامج والملفات الحساسة من اليوسببي مع تجميد نظام الويندوز ,في حالة فشل تشغيل أي برنامج بواسطة الساندبوكسي
,
إذا كنت تستخدم نظام الويندوز يجب عليك القيام بهذه التعديلات على الريجستري قبل تشغيل البرامج والملفات الحساسة في اليوسببي بدون الساندبوكسي
أولا ستفتح محرر الريجستري عبر الضغط على هذين المفتاحين في الكيبورد
windows+R
ثم أكتب
regedit
واضغط موافق
.
بعدها إتبع هذا المسار
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced
وعندما تصل للملف النهائي إضغط عليه مرتين وقم بإنشاء قيمتين جديدتين داخله
DWORD 32
وسميهم
Start_TrackProgs و Start_TrackEnabled
وإضغط عليهم مرتين وقم بتغيير قيمتهم الى 0
.
بعدها إتبع هذا المسار
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist
إضغط على
UserAssist
وستجد فيه مفتاحين عنوانهم على شكل هاش ثم قم بحذف الملفين وإنشاء مفتاح جديد مكانهما سميه هكذا
settings
ثم إضغط عليه مرتين وقم بإنشاء قيمة جديدة داخله
DWORD 32
وسميها(لاحظ الأحرف الكبيرة والصغيرة)
NoLog
وإضغط عليها مرتين وقم بتغيير قيمتها الى 1
.
بعدها إتبع هذا المسار
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\Memory Management\PrefetchParameters
ثم إبحث عن هذين المفتاحين واضغط عليهم مرتين وقم بتغيير قيمتهم الى 0
EnablePrefetcher و EnableSuperfetch
,
بعدها إتبع هذا المسار
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem
ثم إبحث عن هذا المفتاح واضغط عليه مرتين وقم بتغيير قيمته الى 1
NtfsDisableLastAccessUpdate
,,,,,,,,,,,,,,,,,,,,,,,,,,,,
لا تثق في برامج تجميد النظام لأنها ستترك آثار لأسماء الملفات الموجودة في ملفات الوينرار المضغوطة والتي فتحتها في اليوسببي والحل هو حذف مجلد
temp
عبر البحث عنه في القرص الصلب فالبنسبة للويندوز ستقوم بإظهار الملفات المخفية لكي تجده مثلا في هذا المسار
C:\Users\acer\AppData\Local\Temp
ثم قم بفتحه وتدمير كل الملفات التي يحتويها قبل إعادة تشغيل الحاسوب بأحد البرامج التي تكتب فوق الملفات المحذوفة 35 مرة وتمنع إسترجاعها,وإليكم رابط يشرح عدة برامج تقوم بهذا الغرض
notes.xxi2.com/shredder
وجرب بنفسك إستخدام أحد برامج إسترجاع الملفات المحذوفة لترى بعينك
.
كما يجب عليك إستخدام أحد البرامج التي تكتب فوق الملفات المحذوفة 35 مرة لحذف مجلد المتصفح الذي تستخدمه مثل
google chrome أو brave أو gologin
وستجده في هذا المسار لكي تحذفه بأحد البرامج التي تكتب فوق الملفات المحذوفة 35 مرة
C:\Users\acer\AppData\Local
مع ضرورة البحث عن إسم المتصفح داخل القرص الصلب لحذفه بأحد البرامج التي تكتب فوق الملفات المحذوفة 35 مرة
.
أما متصفح تور فهو محول ويمكن وضع مجلده على فلاشة يوسببي وتشغيله من هناك دون الحاجة لحذفه وهذا أكثر أمانا لكم ,ولكن يجب الحذر عند نهاية تثبيت متصفح تور حيث ستظهر لك نافذة تطلب منك إنشاء إختصار لتور على سطح المكتب فقم بإزالة التأشير عليها واضغط موافق
.
وبمجرد فتح متصفح تور يجب الذهاب إلى خيار الإعدادات وتغيير مكان حفظ التنزيلات إلى مجلد موجود على اليوسببي لتفادي تلوث القرص الصلب بأي ملف حساس تنزّله من النت
.
ولكن يجب تعطيل الكاش في متصفح تور عبر كتابة هذا العنوان
about:config
ثم إضغط إنتر،واكتب هذا الكود في مربع البحث
browser.cache.disk.enable
ثم قم بالضغط على السمهين جانبه لتغيير قيمته إلى
false
الإجراء السابق هو لمنع تخزين ملفات الكاش على القرص الصلب،ولمنع تخزين ملفات الكاش على ذاكرة الرام،أكتب هذا الكود في مربع البحث
browser.cache.memory.enable
ثم قم بالضغط على السمهين جانبه لتغيير قيمته إلى
false
.............................
و لكن حتى لو قمت بتشغيل متصفح تور على اليوسببي بشكل محمول فإنه سيقوم بتنزيل بعض الملفات المؤقتة تلقائيا وبدون إشعار في هذا المسار
C:\Users\acer\AppData\Local\Temp
وقد تكون صور حساسة،والمشكل أنها تختفي بمجرد إعادة تشغيل متصفح تور ولن تجدها في ذلك المسار لحذفها بشكل آمن،والحل هو تغيير مكان ومسار وجود مجلد
Temp
عبر نقله من القرص الصلب إلى اليوسببي قبل فتح متصفح تور،وإليكم روابط تشرح كيفية القيام بذلك
web.archive.org/web/20240925223311/https://www.wikihow.tech/Change-Location-of-the-Temp-Folder-in-Windows-7
web.archive.org/web/20220510133637/https://stackhowto.com/how-to-change-temp-folder-location-in-windows-10/
duckduckgo.com/
duckduckgo.com/
فحسب الشروحات أعلاه ستقوم بإنشاء مجلد على اليوسببي إسمه(لاحظ الأحرف الكبيرة والصغيرة)
Temp
ثم تذهب لذلك للمسار وتقوم بكتابة هذا العنوان في كلا مسار الملفين(لاحظ الأحرف الكبيرة والصغيرة وإسم اليوسببي الخاص بك)
G:\Temp
ولكي لا تواجه مشاكل عند إزالة اليوسببي بعد الإنتهاء من النضال قم بإعادة المجلد لوضعه الأصلي عبر كتابة العنوان الموجود سابقا في كلا مسار الملفين
,
وحذاري من تثبيت متصفح تور في شريط المهام لأن ذلك يترك آثارا في نظام الويندوز,و لا تقم بتثبيت الصور والملفات التي تفتحها في شريط المهام أبدا
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
كما يجب البحث في القرص الصلب عن إسم برنامج فبن الذي تستخمه ثم قم بحذف كل الملفات الظاهرة بأحد البرامج التي تكتب فوق الملفات المحذوفة 35 مرة
,
ونفس الشئ ستفعله مع الملفات الحديثة و الموجودة في مجلد المواضع حديثة الزيارة ويسمى
RECENT
ستجده في هذا المسار
C:\Users\acer\AppData\Roaming\Microsoft\Windows\Recent
وستضغط على ترتيب الملفات حسب التاريخ لتظهر لك أسماء المفات الحساسة ثم قم بسحبها الى برنامج الحذف( 35 مرة) ولاتنسى سحب إسم محرك اليوسببي(ولكن لاتقم بهذا الإجراء قبل إزالة مفتاح اليوسببي من جهازك لكي لاتمسح منه بياناتك الحساسة)
,
ونفس الشئ ستفعله مع روابط الملفات الحديثة الزيارة وتسمى
.link
ستجدها في هذا المسار بعد إظهار الملفات المخفية
C:\Users\acer\AppData\Local\Microsoft\Windows\History
وستسحب المجلد الأخير في المسار إلى برنامج الحذف الآمن للكتابة فوقة( 35 مرة)
....................................
(acer=إسم الكمبيوتر)
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
وهناك ملفات في الويندوز تسجل كل أسماء المجلدات التي فتحتها والمسارات التي دخلت لها سواء على القرص الصلب أو فلاشة اليوسببي وهذه القيم تترك أثرا لنشاطك سيستغله المحققين الرقميين ويسمى
windows shellbag
وإليكم رابط موقع يشرحه
web.archive.org/web/20240520065402/https://www.ghacks.net/2014/06/09/remove-old-shellbag-entries-windows-privacy
والحل هو حذف هذه المفاتيح والقيم من الريجيستري قبل إيقاف تشغيل الويندوز,وهناك برنامج خفيف ورائع يقوم بهذه المهمة ولايترك آثرا لنشاطك وإليكم رابط لتحميله
web.archive.org/web/20240819194636/https://privazer.com/en/shellbag_analyzer_cleaner.exe
وبعد التحليل واختيار الحذف يجب الضغط على زر الإعدادات واختيار الكتابة فوق الملفات 6 مرات,ثم قم بإزالة التأشير على المربعين بالأسفل لتفادي حفظ الرنامج لنسخة من هذه البيانات,ثم أكمل خطوات الحذف
.
ولاتنسى تسمية ملفاتك الحساسة بأسماء مموهة حتى لاتثير شك المحققين إذا نسيت يوما حذف آثار أحدها
,
كل هذه الإجراءات ستقوم بها في كل مرة عندما تنتهي من نضالك وبعد إزالة مفتاح اليوسببي وقبل إعادة تشغيل الكمبيوتر
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
وعندما تنتهي قم بإظهار الملفات المخفية وابحث عن هذه الملفات داخل القرص الصلب واحدة وراء الأخرى
recentfilecache.bcf
amcache.hve
setupapi.dev.log
index.dat
prefetch
ثم ستقوم بحذفها عبر أحد البرامج التي تكتب فوق الملفات المحذوفة 35 مرة وتمنع إسترجاعها
,
ثم ستفتح محرر الريجستري واتبع هذا المسار
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\AppCompatCache\AppCompatCache
وعندما تصل للملف النهائي إضغط عليه مرتين وقم بتغيير محتواه بكتابة عشوائية و اضغط موافق
,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,
ولضمان تنفيذك لكل هذه الإجراءات يجب تفادي أي انقطاع مفاجئ للكهرباء, والحل هو أن تكون بطارية حاسوبك في حالة جيدة وتستطيع العمل لقرابة ساعة
,
Delete