Lire le résultat en détail — noter tout ce qui est marqué suspect | Avec un screen complet du scan

Un résultat "clean" ne veut pas dire que la vérif est terminée — continuer les étapes suivantes

MyActivity Google — voir tout ce qui a été cherché même si l'historique navigateur est vidé

Comptes — Vérifiez si pas plusieurs comptes google de connectés

Email — Gmail, Outlook : chercher "cheat", "loader", "key", "invoice", "purchase"

Discord — comptes alt, navigateur, Canary : voir les serveurs rejoints, message privés, implicit

YouTube Studio — voir les vidéos upload en privée (possible cheat ?)

ChatGPT & IA — chercher par mots-clés : "bypass", "inject", "spoof", "fivem", "cheat"

Ouvrir regedit → aller dans HKCU\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit

Permet de voir la dernière clé ouverte dans l'éditeur du registre

Génération automatique d’un rapport d’analyse temporaire (Scanner)

Prefetch — si vide = suspect (effacement de traces)

Registres — cherche les mots-clés cheats / loaders dans toutes les clés connues

Mods FiveM suspects — RPF, materials, ai dans les dossiers du jeu

USB branchés actuellement — liste tous les périphériques connectés

Corbeille — contenu + date de dernière activité

Historique de protection Defender — vidé ou non

Système d’expiration intégré

Auto-destruction automatique et suppression des fichiers temporaires après fermeture

Ouvrir : Win+R → eventvwr.msc

Aller dans Journaux Windows → Sécurité / Système / Application

Aller dans Journaux des applications et des services → Microsoft → Windows → Windows Defender → Operational

Tout les outils sont inclus dans WorldWide Tools — tu peux aussi les télécharger séparément via les liens

Les plus intéressants à vérifier sont : Journal Trace, USBDeview, BrowserDownloadsView, JumpList View

On verra après : LastActivityView [ETAPES 06]

Outils permettant de retrouver les principales traces laissées par l'utilisateur : fichiers supprimés, fichiers récents, activités Windows et historique complet du système.

Tous compris dans WorldWide Tools

Mettre *.exe dans Files Wildcard pour cibler uniquement les exécutables & remplacer "username"

Les chemins ci-dessous sont les emplacements les plus pertinents à analyser pour retrouver des exécutables supprimés, loaders et fichiers suspects.

À lancer en premier pour obtenir une vue globale de l'activité récente du système.

Regroupe de nombreuses sources Windows : exécutables lancés, fichiers ouverts, connexions réseau et événements système.

Permet d'établir rapidement une timeline des actions effectuées sur le PC.

Pour faciliter la recherche : utiliser le Use Quick Filter dans l'onglet View et chercher .exe. (screen ci-dessous)

Afficher tous les fichiers récemment ouverts : documents, images, archives, exécutables et téléchargements.

Permet d'identifier des exécutables, loaders, archives ou documents ouverts même s'ils ont ensuite été supprimés.

Complèmentaire avec LastActivityView, moins général.

Ces deux outils sont inclus dans WorldWide Tools — tu peux aussi les télécharger séparément via les liens en bas

AppCompatCache Parser lit le cache de compatibilité Windows qui enregistre tout .exe lancé sur le PC, même supprimé depuis

Timeline Explorer permet d'ouvrir le CSV généré et de filtrer/trier facilement par date, nom de fichier, chemin

Un fichier CSV sera créé sur le Bureau — l'ouvrir dans Timeline Explorer

Dans Timeline Explorer : filtrer par .exe et téléchargements → trier par date → chercher noms suspects (loader, cheat, spoof, inject…)

Analyse la Master File Table (MFT) afin de reconstruire l'activité complète du disque NTFS.

Deux outputs sont générés | $MFT Output est généralement le plus intéressant :

➜ $MFT Output : Détaille tous les fichiers présents ou ayant existé sur le disque (parfois même après un reset du PC).
➜ $J Output : Historique des actions effectuées sur les fichiers (créations, modifications, renommages, suppressions).

Ouvrir le résultat avec Timeline Explorer pour filtrer, rechercher des exécutables suspects et analyser les timestamps plus facilement.

Options → Disques Devices — disque caché = clé USB déjà branchée - (Screen : Options System Informer)

Explorer.exe → file:/// puis .exe — voir tous les .exe exécutés partout sur le PC - (Screen : Results System Informer)

Tout fichier ou exécutable suspect identifié vérifier son hash dans BAM, AmCache ou SRUM ou directement sur VirusTotal .

Analyse la base BAM (Background Activity Moderator) de Windows afin d'identifier les exécutables lancés sur la machine et leurs dernières dates d'exécution.

Vérifier si des programmes suspects ont été exécutés récemment, même lorsqu'ils ne sont plus présents sur le système.

Analyse la base AmCache de Windows (Illisible sans ce logiciel) qui conserve des informations sur les programmes exécutés sur le système.

Retrouver des exécutables ayant existé sur le PC même après leur suppression.

Analyse la base SRUM (System Resource Usage Monitor) utilisée par Windows pour enregistrer l'activité des applications (réseau, batterie, CPU, applications).

Vérifier quelles applications ont consommé des ressources système et réseau sur une période donnée.

Pas inclut dans WorldWide Tools — téléchargement via le lien en bas

Voir tous les prefetch en détail — timestamps précis, nombre d'exécutions, chemin complet

Vérifier si les signatures des .exe sont signées — un .exe non signé est plus suspect

Permet d'identifier les comptes Discord connectés ou ayant été utilisés sur le PC via "LevelDB Viewer"

Récupère les User ID Discord stockés localement afin de détecter d'éventuels comptes alternatifs (ALT)

Analyser les dossiers Discord, Discord Canary et Discord PTB pour maximiser les résultats

Chercher dans le Notepad avec Ctrlf + F https://discord.com\u0000\u0001AudioContextSettingsMigrated: | Affiche tous les id déjà connectés sur le PC

Inclut dans WorldWide Tools — tu peux aussi les télécharger séparément via le lien tout en bas

Voir les fichiers supprimés sur le disque — même ceux vidés de la corbeille

Cibler : Corbeille (C:\$Recycle.Bin), Downloads, Documents

Filtrer par .exe dans "Examiner objets trouvés" pour aller vite