Спасибо за такую mega-развернутую инструкцию! Особенно выручает идея с корреляцией таймлайнов — без неё эта гора логов точно запутает. Теперь ясно, что одной только Event Log мало, а Prefetch и Amcache дополняют картину по полной. Буду пробовать эти инструменты и больше внимания уделять временным меткам в MFT — про timestomping раньше и не думал. Вот бы ещё пару простых примеров увидеть на практике, чтоб закрепить.