EvidLockV2

Forensic Evidence Tool pour Windows

Un travail sûravec les preuves numériques

EvidLock préserve, analyse et documente les preuves numériques dans un seul environnement — de la somme de contrôle au rapport final. Tout en local : sans cloud, sans compte, sans rien envoyer à l’extérieur.

Voir les éditions Voir ce qui reste au dossier

GRAPHE DE LIENS — EN DIRECT

15 RÈGLES — chaque arête porte une règle, un niveau de confiance et ses limites

0 octet

transmis à l’extérieur

15 règles

de corrélation explicites

8 modules

Player · View · Commander · Carver · Voice · Tracker · Network · Sandbox

SHA-256

à chaque étape du travail

Pour qui

Conçu pour les services d’enquête. Ouvert à quiconque travaille sur la preuve numérique.

Reproductibilité des opérations, piste d’audit lisible et lien démontrable entre le résultat et sa source : ce sont les exigences de la procédure pénale. Ce sont aussi celles de l’expert judiciaire, de l’équipe de réponse à incident, de l’auditeur et de l’étudiant qui apprend la méthode.

Services et forces de l’ordre

Préservation des supports, déroulé reproductible et documentation prête pour le dossier.

Experts judiciaires et cabinets

Des expertises fondées sur des sommes de contrôle vérifiables, avec des limites d’interprétation explicites.

Équipes de sécurité informatique

Réponse à incident et analyse d’artefacts sans faire sortir les données de l’organisation.

Audit et conformité

Inventaire du matériel, contrôle d’intégrité et rapports pour les procédures internes.

Détectives et experts privés

Un atelier complet sur un seul ordinateur portable, fonctionnel même sans réseau.

Étudiants en cybersécurité

Cybersécurité, informatique légale et droit du numérique — un atelier sur votre propre machine.

Universités et formations

Un environnement unique pour les travaux pratiques sur la préservation et la chronologie, sans accès réseau.

Équipes CTF et chercheurs

Carving, analyse mémoire, règles YARA et graphe de liens au même endroit.

Modules

Huit ateliers autonomes dans une seule application

Chaque module s’ouvre dans sa propre fenêtre et travaille sur le même matériel du dossier — sans export intermédiaire et sans recopier de chemins.

ElPlayer

La vidéosurveillance, image par image

Un lecteur pensé pour les pièces à conviction : chronologie précise en CFR et VFR, marqueurs De–À, gestion de plusieurs caméras et écran partagé.

captures d’images en JPG et export de la plage sélectionnée
formulaire d’analyse dont les annotations sont enregistrées auprès de l’enregistrement
raccourcis clavier pour le travail image par image

ElPlayer — fenêtre du lecteur avec chronologie, marqueurs De–À et panneau d’outils

ElCommander

Inventaire à deux panneaux, en mode preuve

Un gestionnaire de fichiers qui calcule les sommes de contrôle à la volée et alerte lorsque le support est inscriptible — avant que l’erreur ne soit commise.

comparaison de répertoires et détection des écarts
SHA-256 pour les fichiers sélectionnés et les arborescences entières
archives ZIP AES-256, 7Z et TAR.GZ, et versement au dossier

ElCommander — deux panneaux de fichiers, mode preuve et barre des sommes de contrôle

ElCarver

Récupération des fichiers supprimés

Deux modes : rapide et logique sur NTFS, FAT32 et exFAT, ou carving profond par signatures. La source est ouverte en lecture seule uniquement.

images, enregistrements, documents, archives et formats bureautiques
disques physiques et images RAW, E01 et AFF4
vérification des fichiers récupérés écartant les faux positifs

ElCarver — choix de la source, du mode d’analyse et des formats à récupérer

ElView

Examen et préservation des photographies

Visualisation du matériel photographique avec recadrage, lecture des métadonnées EXIF et du format HEIC, et préservation de chaque fichier par une somme SHA-256.

rapports interactifs avec marqueurs sur les photographies
analyse de l’image et des métadonnées de l’appareil
passage direct depuis les résultats d’ElCarver

Analyse d’une image : métadonnées EXIF, SHA-256 et évaluation de l’authenticité

ELVoice

Enregistrements vocaux : description et comparaison

Analyse d’échantillons sonores entièrement sur votre poste. Forme d’onde, spectrogramme et comparaison de deux enregistrements, méthode annoncée.

vingt formats audio et vidéo, dont AMR, Opus et la piste sonore d’un MP4
forme d’onde et spectrogramme enregistrés comme fichiers pour le rapport
résultat de comparaison avec un palier verbal et ses limites explicitées

Voir un rapport ELVoice type

ELVoice Forensics — fenêtre d’analyse d’un échantillon vocal avec forme d’onde et spectrogramme

ELTracker

Traces mobiles issues de plusieurs sources préservées

Analyse locale des sauvegardes iOS, arborescences Android, stockage partagé, backup.ab et Google Takeout sans modifier la source.

enregistrements et transcriptions de l’activité vocale
contacts, comptes, SIM, requêtes Chrome et saisie automatique
rapports HTML, PDF, XLSX, CSV et JSON avec manifeste SHA-256

ELNetwork

Une capture, deux moteurs à la fois

Analyse des fichiers PCAP par Suricata et Zeek en une seule passe. La capture reste intacte et chaque passe reçoit son propre manifeste.

alertes, connexions, DNS, HTTP, TLS et fichiers dans un seul tableau
résultats des deux moteurs fusionnés et ordonnés dans le temps
export CSV et HTML, plus les SHA-256 de la capture et des règles

ELSandbox

Un fichier inconnu s’exécute hors de votre système

Une session contrôlée dans le bac à sable natif de Windows. Seule une copie du matériel vérifiée en SHA-256 parvient à l’invité, en lecture seule — le dossier de l’affaire n’est jamais monté.

presse-papiers, micro, caméra, imprimantes et vGPU désactivés
réseau hors ligne, direct ou via un proxy — hors ligne par défaut
rapport HTML avec les SHA-256 des copies et des résultats et le journal de session

ELSandbox — diagnostic du bac à sable Windows, contrôle de session, profil réseau et journal des événements

Modèle d’isolation

Voyez ce qui entre dans le bac à sable — et ce qui n’y entrera jamais

Configurez la session comme vous le feriez dans le module. Le schéma et la configuration .wsb ci-dessous évoluent exactement comme ELSandbox les fait évoluer — ce sont les mêmes décisions, pas une illustration.

Mode réseau Hors ligne Direct Via un proxy

Outils dans le bac à sable Process Monitor Wireshark

Réglages de la session Dossier de résultats persistant Surveillance du comportement exige un dossier de résultats persistant

Le mode par défaut, recommandé pour un fichier inconnu. L’invité n’a pas de réseau : le programme examiné ne joindra ni serveur de commande ni le reste de sa charge utile.

L’invité utilise le réseau partagé par le bac à sable Windows. Le trafic du programme examiné sort de la machine — ce mode n’a de sens que si vous voulez délibérément observer ces connexions.

Le proxy est un réglage interne à l’invité — WinINET, WinHTTP et variables d’environnement — et non un filtre imposé de l’extérieur. Le programme examiné peut l’ignorer, employer un autre protocole ou se connecter directement. Contrôler le trafic suppose une segmentation réseau côté infrastructure.

La configuration ElSandbox_secure.wsb pour ces réglages

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>DisableEnableEnable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\input</HostFolder>
      <SandboxFolder>C:\EvidLock\Input</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\control</HostFolder>
      <SandboxFolder>C:\EvidLock\Control</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>D:\Sprawy\PR-2-Ds-114-2026\ElSandbox_Output_20260827_014522_9f3ac1b8</HostFolder>
      <SandboxFolder>C:\EvidLock\Output</SandboxFolder>
      <ReadOnly>false</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Sysinternals</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\procmon</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Wireshark</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\wireshark</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>powershell.exe -NoLogo -NoProfile -ExecutionPolicy Bypass -File C:\EvidLock\Control\bootstrap.ps1</Command>
  </LogonCommand>
  <AudioInput>Disable</AudioInput>
  <VideoInput>Disable</VideoInput>
  <PrinterRedirection>Disable</PrinterRedirection>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <ProtectedClient>Enable</ProtectedClient>
  <MemoryInMB>4096</MemoryInMB>
</Configuration>

Chronologie et graphe de preuves

Des milliers d’événements forment un seul récit

Le profilage d’activité rassemble dans une même chronologie UTC les événements EVTX, du registre, de Prefetch, LNK, Jump Lists, ShellBags, USBSTOR, Amcache, ShimCache, SRUM, des processus, des connexions réseau et des navigateurs.

Corrélation déterministe

On sait toujours pourquoi deux éléments ont été reliés

Un graphe local à 15 règles de corrélation explicites travaille sur les enregistrements normalisés. Un clic sur une arête affiche la règle, le niveau de confiance, l’explication, les limites et les identifiants des preuves.

panneau « Pourquoi ce lien ? » sur chaque relation
correspondance versionnée MITRE ATT&CK 19.1
export JSON, HTML autonome, XLSX et fichier de sommes SHA-256

Chronologie et graphe de liens avec le panneau d’explication de la règle de corrélation

Plaso

Chronologie complète à partir d’une image de support

Vous désignez une image de support et EvidLock en construit la chronologie complète, puis la charge directement dans le graphe de liens. Sans recopier de fichiers d’un outil à l’autre.

source ouverte en lecture seule uniquement
progression visible en continu
résultat immédiatement dans la chronologie et le graphe

Fenêtre de création de la chronologie Plaso avec la progression du traitement

Intégration de Plaso. La chronologie est construite entièrement sur votre poste et le matériel source reste intact. La fonction est disponible quelle que soit la variante d’installation retenue.

Mémoire vive

Ce qui disparaît à la coupure du courant

Les clés de chiffrement, les connexions ouvertes, les processus et les contenus qui n’ont jamais atteint le disque n’existent que dans la mémoire. La préserver est une opération qui ne se répète pas.

Acquisition et analyse

WinPmem et Volatility 3 dans une même fenêtre

Acquisition de la mémoire par WinPmem, avec progression visible et somme SHA-256 calculée immédiatement. L’analyse est lancée directement sur l’image obtenue.

greffons prêts à l’emploi : processus, réseau, lignes de commande, Malfind, liste des bibliothèques
acquisition facultative de pagefile.sys, swapfile.sys et hiberfil.sys
rapports TXT, CSV, XLSX, HTML et PDF

Module Mémoire : acquisition WinPmem, somme SHA-256 et greffons Volatility 3

Éditeur HEX

Vingt gigaoctets sans charger en mémoire

Vue hexadécimale de l’acquisition en lecture paginée — l’image n’est pas chargée en totalité, si bien qu’un fichier de plusieurs dizaines de gigaoctets s’ouvre instantanément.

saut vers une adresse quelconque et navigation par pages
recherche de texte en ASCII, UTF-16 LE et octets HEX
liste des occurrences avec adresse, type et aperçu du contexte

Vue hexadécimale d’une acquisition mémoire, lecture paginée et moteur de recherche

Gestionnaire d’images

Deux acquisitions côte à côte, une seule réponse

Comparaison de deux images mémoire : les sommes SHA-256 sont calculées pour les deux et présentées directement l’une sous l’autre. De quoi démontrer qu’une copie est fidèle à l’original.

comparatif du nom, du chemin, de la taille et des dates
calcul et comparaison des sommes de contrôle
choix de l’image transmise à l’analyse suivante

Gestionnaire mémoire : deux acquisitions RAM comparées par leurs sommes SHA-256

Le module est marqué bêta. L’acquisition de la mémoire exige les droits d’administrateur et modifie toujours l’état du système examiné — elle ne peut pas être réalisée sans laisser de trace. Nous le disons franchement, car cette circonstance doit figurer dans la documentation de l’opération.

Rapports et journal des événements

Chaque opération laisse une trace — et rejoint elle-même la documentation

Le travail sur la preuve ne s’arrête pas au constat, mais à la possibilité de le reproduire et de le démontrer. EvidLock enregistre le déroulé au fil de l’eau.

Journal des événements

Enregistrement continu du déroulé

Chaque opération rejoint le journal avec son heure, son niveau, son numéro d’ordre, son module et sa durée. L’écriture se fait au fil de l’eau : le rapport n’est pas une tâche séparée en fin de journée.

filtrage en direct sur le contenu des entrées
rapport HTML interactif avec tri
export du journal en PDF et XLSX
rapport final du dossier reprenant l’ensemble des opérations
compteurs de fichiers, de rapports et d’entrées dans le panneau du dossier

Voir un exemple de rapport HTML

Fenêtre du journal : entrées avec heure, niveau, numéro d’ordre et module

Journaux Windows

Export des journaux système vers le dossier

Les événements d’application, de sécurité, d’installation et du système, exportés selon une plage de temps et une limite d’enregistrements choisies.

XLSX, EVTX, PDF et TXT en une seule passe
sommes SHA-256 et attribut lecture seule sur les fichiers produits
plage allant des dernières 24 heures à un intervalle personnalisé

Options d’export des journaux système avec sommes SHA-256

La documentation est utilisable dès sa production — sans mise en forme manuelle, sans recopie et sans calculer les sommes de contrôle avec un outil séparé.

Portée du travail

De la préservation du support au rapport final

Intégrité du matériel

SHA-256 des fichiers et des répertoires, manifestes déterministes, BLAKE3 pour l’inventaire rapide, MD5 uniquement comme valeur de compatibilité.

One-Click

Un seul clic : attribut lecture seule, contrôle du chiffrement, sommes de contrôle, manifeste, rapport et archive protégée par mot de passe.

Mémoire vive

Acquisition par WinPmem, en option pagefile, swapfile et hiberfil, analyse sous Volatility 3 et sommes de contrôle. Module en version bêta.

Images de supports

Imagerie de disques et de volumes vers RAW/ISO, montage, comparaison d’images et lecture des formats E01/Ex01 et AFF4.

Analyse du dossier

Une base commune pour sept analyses indépendantes : signatures de fichiers, chiffrement, jeux de hachages, YARA, journaux SQLite, sauvegardes de téléphones et Sleuth Kit.

Navigateurs

Historique, favoris, téléchargements, cookies, cache et métadonnées des mots de passe enregistrés, avec filtre des contenus à risque.

Registre et journaux Windows

Export du registre vers .hiv, CSV, XLSX, TXT et PDF, et des journaux système vers XLSX, EVTX, PDF et TXT.

Recherche de contenu

Recherche multithread de termes dans les noms et à l’intérieur des fichiers texte, PDF, Office, OpenDocument et EML.

Rapports et journal

Rapports PDF, CSV, TXT et XLSX, rapport final du dossier et journal des opérations avec rapport HTML interactif.

Détection du chiffrement

BitLocker, LUKS, FileVault ainsi que les archives, documents et clés chiffrés. Les conteneurs sans signature sont signalés comme soupçon, jamais comme certitude.

Récupération depuis les journaux SQLite

Adresses, contacts et chemins extraits des fichiers WAL et journal — des écritures qui n’ont pas encore rejoint la base du navigateur ou de la messagerie.

Sauvegardes de téléphones

Reconnaissance des sauvegardes iTunes/Finder et adb backup : modèle de l’appareil, version du système, date, nombre de fichiers et information sur le chiffrement.

Analyse vocale

Description des propriétés d’un enregistrement et comparaison de deux échantillons avec forme d’onde et spectrogramme. Le résultat est un indice, jamais une identification du locuteur.

Trafic réseau

Captures PCAP analysées par Suricata et Zeek : alertes, connexions, DNS, HTTP, TLS et fichiers dans un seul tableau, avec un manifeste pour refaire l’analyse.

Exécution isolée

Un fichier inconnu ouvert dans le bac à sable natif de Windows : copie vérifiée en lecture seule, réseau coupé par défaut, dossier d’affaire jamais monté.

Éditions

EvidLock pour Windows

Un installateur d’application, trois variantes portables et quatre modules dotés de leur propre installateur. Tous partagent le même moteur et le même format de dossier.

Phase de test. EvidLock n’a pas encore de version de production — les tests sont en cours et l’étendue comme le comportement des modules peuvent encore changer.

Téléchargement suspendu — Les fichiers seront publiés une fois la signature de code terminée et les sommes SHA-256 disponibles.

Application principale

INSTALL
PORTABLE ONEDIR
PORTABLE ONEFILE
PORTABLE SFX

Modules avec leur propre installateur

ElCommander + ElFTP
ElNotes
ElVoice
ElPlayer

Détails des éditions sur evidlock.pl

Installateur ou version portable ? L’installateur enregistre le programme dans le système, crée des raccourcis et gère les mises à jour. La version portable s’exécute depuis une clé USB, sans installation — mais elle démarre nettement plus lentement, car elle se décompresse à chaque lancement.

Chaque édition commerciale exige une clé ELP1. Sans clé, le programme démarre en mode démonstration avec un nombre de lancements limité.

Les descriptions complètes, les prérequis et les sommes de contrôle sont sur evidlock.pl. Avant d’exécuter un fichier, comparez sa somme SHA-256 à la valeur publiée avec l’édition.

Sécurité

L’analyse reste locale

EvidLock traite le matériel sur le poste de l’opérateur. Le serveur de mises à jour ne diffuse que les fichiers du programme, et le serveur d’activation des clés ELP1 gère la licence et des identifiants pseudonymes — il ne reçoit jamais les fichiers analysés.

Intégrité

Les installateurs sont accompagnés de sommes SHA-256 publiées. Les mises à jour de production exigent en plus une signature Authenticode valide.

Minimisation

L’API d’activation n’accepte que les données nécessaires à la vérification des limites d’appareils et de lancements.

Séparation

Le site, les fichiers de mise à jour et la console de licences tournent sur des sous-domaines distincts.

Audit

Les prolongations accordées et les décisions du serveur sont consignées dans un journal contrôlé.

Honnêtement, sur les limites de l’outil

EvidLock ordonne et corrèle les artefacts, mais n’attribue pas automatiquement une action à une personne. Chaque lien du graphe porte une règle explicite, un niveau de confiance et ses limites — c’est vous qui tirez les conclusions et c’est vous qui les défendrez.

Détails des éditions sur evidlock.pl Contact