A funcionalidade Recall surge como a atualização mais relevante e controversa. O Recall captura continuamente imagens do ecrã do utilizador e utiliza IA local para extrair e armazenar informações. Este recurso cria um "mina de ouro" de artefactos forenses, permitindo a reconstrução detalhada da atividade de um atacante num sistema comprometido. Contudo, levanta sérias preocupações de privacidade, já que falhas no seu filtro de privacidade (desenhado para ocultar dados sensíveis) podem expor credenciais e informações confidenciais.
Apesar de vir desativado por predefinição nas versões corporativas, a Kaspersky alerta que um invasor ou software malicioso pode ativá-lo sem o conhecimento do utilizador. Por essa razão, os especialistas em segurança devem agora incluir a análise dos dados do Recall nas suas investigações. O risco de potencial abuso da funcionalidade torna-se um novo foco de atenção na segurança empresarial.
Outras aplicações padrão do Windows 11 também sofreram alterações críticas para a análise forense. O Notepad, por exemplo, passou a suportar o modo multitab e a manter o estado das abas abertas mesmo após ser encerrado, gerando novos artefactos sobre a sua utilização. Já a Pesquisa no Windows (Windows Search) foi drasticamente alterada, substituindo a antiga base de dados única por três bases de dados independentes em formato SQLite, o que exige novos métodos de extração de informação indexada.
O sistema operativo introduziu ainda alterações em artefactos já familiares. Houve mudanças no comportamento dos atributos NTFS e a descontinuação completa do NTLMv1, o que enfraquece gradualmente a eficácia dos ataques pass-the-hash. Embora o artefacto de atividades do Windows Timeline tenha sido descontinuado, a sua base de dados com informações da atividade do utilizador ainda permanece nos ficheiros do sistema.
Uma das atualizações mais importantes a longo prazo é o suporte alargado ao sistema de ficheiros ReFS (Resilient File System), que agora permite a instalação direta do Windows 11. O ReFS não utiliza a Master File Table ($MFT), na qual os especialistas forenses confiam para a localização de registos de ficheiros, e também não gera nomes curtos de ficheiros. Esta transição para o ReFS apresenta desafios significativos para a investigação de sistemas de ficheiros no futuro.
Em suma, a análise da Kaspersky deixa claro que a passagem para o Windows 11 não é apenas uma atualização de interface; é uma mudança estrutural que exige a redefinição das ferramentas e metodologias de análise forense. Os profissionais de cibersegurança devem estudar urgentemente os novos artefactos e as alterações nos sistemas de ficheiros para garantir que conseguem investigar incidentes de forma eficaz na nova era da Microsoft.
