$BadClust (Defekta Kluster)

🔍 Kategori: artifact 🏷️ Alias: $BadClust, Bad Sectors ⚖️ Forensisk standard

Innehåller en lista över kluster som operativsystemet markerat som skadade. Inom anti-forensik kan angripare manipulera $BadClust för att manuellt allokera och dölja skadlig kod eller stulen data i kluster som vanliga filsystemsläsare ignorerar.

⚙️ Tekniska Parametrar & Verktygsstöd

Filsystemsplacering (på undersökt media): \$BadClust
Forensiska verktyg:
The Sleuth Kit (TSK) ↗ FTK Imager ↗ Autopsy ↗

📚 Källor & Fördjupning

🏛️ Microsoft Docs

Microsoft Learn: NTFS Technical Architecture & Internal Files

Läs specifikation →

🏛️ SANS DFIR

SANS DFIR: Windows Forensic Analysis & Filesystem Artifacts

Läs specifikation →

🏛️ The Sleuth Kit

Brian Carrier: File System Forensic Analysis (NTFS Reference)

Läs specifikation →

Alla begrepp Sök incidenter i Intelligence →