第630章 查(4/5)
自语中开始启动笔记本电脑。
没有意外。
桌面非常干净，不仅浏览器历史空白，连下载文件夹也就剩几个系统更新，而远程控制软体早被卸得干干净净，就连回收站也清空了。
这正是警方难以下手的原因之一。
这些诈骗团队都是一套流程，控制你的电脑后，自然也懂得走之前先擦嘴。
等受害者发现钱没了，再报警，接著警探再等技术员上门，最常见的证据往往已经被清掉了。
埃里克心里毫无波澜，对他来说，删除不代表消失。
埃里克默默地给硬碟做了个完整镜像，确保原始数据不被二次破坏，再输入一行指令直接锁死了硬碟的写入权限，让他的任何操作都不会改写原始数据。
做完这一步，埃里克直接挂载上系统自带的卷影副本，这东西本身是系统在特定时间点自动拍的全盘快照。
果然卷影副本里躺著一个还原点，远程软体的安装目录、连接日志、甚至对方在控制端敲过的几行命令记录，都还完整地待在原位。
接著打开取证工具，开始扫。
注册表残键、预取文件、卸载残留、临时目录、系统卷影副本，还有MFT表里那些已经标记为已删除但还没被覆盖的文件碎片等等。
随后，屏幕上一条条被擦掉的信息重新浮了出来。
果然，远程软体的安装母包还是在系统缓存里留了底，卸载的时候，被清掉的连接日志还散在硬碟未分配扇区里。
所以对方虽然删了浏览器历史，但却没把DNS缓存、网页图标缓存、以及跳转链记录给清干净。
「坏事做多了没有惩罚，就不以为然吗？以为没人会帮老人出头？」埃里克的双手在键盘上飞快敲打。
像对方这种心理，他都不用动脑子就知道了，第一次做坏事时可能还知道哆嗦几下，渐渐地，次数多了还没有任何惩罚，只会越来越大胆，觉得天经地义。
重要的是，很多老人的情况要么不被人在意，要么无人在意。
于是，卷影里的安装日志、休眠文件里的进程指纹、未改的默认埠等等所有一切叠在一起，将一条从本机到中转再到控制端的完整链路摊在了埃里克面前。
埃里克结合弗兰茜被骗的时间找到了几个时间点，这段区间里，电脑和外部建立过三次连接，其中一个IP反复出现，正是对方用来远程登录的工作端。
埃里克顺著这个IP倒查，发现它几天前还在活动。
尝试再进一层，跳板断开，
本章还未完，请点击下一页继续阅读>>>
