O que aconteceu?
Organiza eventos e artefatos preservados em uma linha temporal coerente.
Cheat Behavior Analyser
CBA
Reconstrução comportamental e forense de atividade relevante no Windows, combinando fontes independentes para apresentar uma linha técnica verificável.
O que sustenta isso?
Mostra a proveniência das evidências usadas para sustentar cada interpretação.
O que permanece aberto?
Expõe lacunas, limitações e pontos que ainda exigem revisão manual.
Fontes e contexto
Uma visão multicamada
O CBA cruza camadas diferentes do Windows. Cada uma acrescenta uma parte da história e nenhuma é tratada, isoladamente, como conclusão final.
Execução
Execução e presença histórica
Fontes preservadas pelo Windows que ajudam a situar programas e atividade observada.
Arquivos
USN e sistema de arquivos
Criação, alteração, rename, exclusão e continuidade temporal dos artefatos.
Uso
Prefetch, BAM e UserAssist
Contexto complementar de uso e execução quando essas fontes estão disponíveis.
Kernel
Drivers, serviços e Code Integrity
Estado, carregamento e proveniência de componentes observados no kernel e no sistema.
Diagnóstico
Observabilidade e eventos
Fontes de diagnóstico que ajudam a contextualizar alterações relevantes no ambiente.
Contexto
Proximidade temporal
Relação temporal com o jogo e demais eventos do sistema sem transformar proximidade em causalidade automática.
Importante
“O CBA organiza a investigação. Ele não substitui a revisão humana.”
1Uma fonte isolada não vira automaticamente uma acusação.
2Fato, correlação e contexto permanecem separados.
3O relatório mostra também o que não foi comprovado.