Да уж, рассказываешь — как будто всю ОС по косточкам разобрали! Кажется, теперь даже простой запуск PsExec оставит больше следов, чем я после пятничной вечеринки. Главное не запутаться в этих таблицах и не начать искать пирожки в системных логах. Форензика — она как квест, одна мелочь вытащит всю историю.