Visualizador EVTX

Abra um registo de eventos do Windows em qualquer máquina — sem computador Windows, sem Visualizador de Eventos, sem instalação. Largue um ficheiro .evtx aqui abaixo e ele será analisado localmente neste separador do navegador por uma versão WebAssembly do mesmo motor de análise que as ferramentas forenses utilizam: primeiro o resumo (número de registos, intervalo de tempo, canais, principais fornecedores e ID de evento), depois uma tabela filtrável em que cada registo se abre para mostrar os seus campos estruturados e o seu XML em bruto. Os registos de eventos são provas — nomeiam utilizadores, máquinas, endereços IP e horas de início de sessão —, por isso o ficheiro nunca é enviado, nunca é registado e nunca sai do seu dispositivo.

Última atualização:

Largue aqui um ficheiro .evtx ou escolha um — até 64 MB. Funcionam tanto os registos exportados (clique com o botão direito num registo no Visualizador de Eventos → Guardar Todos os Eventos Como…) como os ficheiros copiados de C:\Windows\System32\winevt\Logs. Nada é enviado: a análise acontece no seu dispositivo, num Web Worker, com o progresso à vista à medida que avança.

A análise é assegurada pela crate evtx (Rust, versão 0.14.0), utilizada ao abrigo da licença MIT ou Apache-2.0 e compilada para WebAssembly com uma fina camada de adaptação mantida no repositório deste site. O analisador corre inteiramente no seu navegador.

O que isto mostra — e o que um .evtx não lhe pode dizer

Um ficheiro .evtx guarda cada evento como XML binário estruturado: um bloco System (ID de evento, fornecedor, canal, nível, carimbo de data/hora, ID de registo) e os campos de dados do evento (EventData ou UserData). Essa estrutura é exatamente o que este visualizador apresenta — ordenável, filtrável e exportável. O que o ficheiro não contém é o texto de mensagem amigável que o Visualizador de Eventos mostra («Uma conta falhou ao iniciar sessão…»). O Windows gera esse texto na máquina que escreveu o registo, a partir das DLL de mensagens de cada fornecedor; valores como %%14592 nos dados são marcadores dessas cadeias das DLL. Qualquer ferramenta que lhe mostre um texto de mensagem polido para um .evtx alheio está a reconstruí-lo ou a adivinhá-lo — esta mostra-lhe os campos, que são a parte que é realmente prova, e o XML em bruto quando quer ver o registo exatamente como está guardado. O guia complementar, ler ficheiros EVTX sem uma máquina Windows, percorre uma rotina de triagem com ID de evento reais.

Mais duas notas de honestidade. Os carimbos de data/hora dentro de um .evtx estão em UTC; o Visualizador de Eventos mostra-os convertidos para a hora local da máquina em que o abre, algo que já confundiu mais do que uma cronologia — a tabela aqui mantém-se em UTC e diz isso mesmo. E um registo danificado ou truncado não é «limpo» em silêncio: os blocos que não é possível analisar são listados acima da tabela com os seus deslocamentos em bytes, para que saiba exatamente que parte do ficheiro não está a ver. Os danos ao nível do bloco são normais em registos extraídos de imagens de disco, e os registos à volta dos danos continuam a ser analisados. Para o trabalho vizinho de análise forense de ficheiros, o analisador PCAP lê capturas de pacotes sob a mesma regra — localmente, nunca enviadas.

Perguntas frequentes

Posso abrir um ficheiro .evtx num Mac ou numa máquina Linux?

Sim — é esse o objetivo desta página. O Visualizador de Eventos só existe no Windows, mas o formato .evtx é um formato binário documentado, e o analisador aqui presente (uma versão WebAssembly da crate evtx de Rust) corre em qualquer navegador moderno e em qualquer sistema operativo. Copie o ficheiro da máquina Windows ou da imagem de disco, largue-o aqui e leia-o onde estiver.

Porque não vejo o texto da mensagem do evento, como no Visualizador de Eventos?

Porque ele não está no ficheiro. Um .evtx guarda os campos estruturados de cada evento; a frase que o Visualizador de Eventos mostra é gerada numa máquina Windows a partir da DLL de mensagens do fornecedor, que não viaja com o registo. Valores como %%14592 são referências a essas cadeias das DLL. Este visualizador mostra-lhe tudo o que o ficheiro contém realmente — o bloco System, cada campo EventData/UserData e o XML em bruto — em vez de inventar um texto de mensagem que não pode conhecer.

É seguro abrir aqui um registo sensível? Para onde vai o ficheiro?

Para lado nenhum. O ficheiro é lido por um Web Worker no seu próprio separador do navegador; não há nenhum ponto de envio, nenhuma conta e nenhum registo do conteúdo do ficheiro. Pode confirmá-lo da mesma forma que com as outras ferramentas locais deste site: carregue a página, desligue-se da rede, e a análise continuará a funcionar. Isso importa, porque os registos de eventos nomeiam utilizadores, máquinas e endereços IP — trate-os como provas, não como algo para colar em conversores na nuvem ou em chats de IA.

O resumo lista blocos que não foi possível ler. O meu ficheiro está danificado?

Em parte, e isso é normal em registos recuperados de imagens de disco ou de cópias interrompidas. Um .evtx é uma sequência de blocos de 64 KB; os danos costumam destruir blocos individuais, não o ficheiro inteiro. O visualizador assinala cada bloco ilegível com o seu deslocamento em bytes e analisa tudo o que o rodeia, para que saiba com precisão o que falta, em vez de obter um registo encurtado em silêncio. Um bloco que é só zeros é espaço pré-alocado, não dano, e é ignorado sem comentários — exatamente como o Windows o trata.

Que tamanho de registo posso abrir?

Até 64 MB, o que, com a densidade típica de um registo de Segurança, corresponde sensivelmente a 130.000 registos. A análise avança por lotes com indicação de progresso, pelo que mesmo um ficheiro desse tamanho continua responsivo; a tabela pagina os resultados em vez de apresentar todas as linhas de uma vez. Se precisar de dividir um registo maior, exporte os subconjuntos filtrados que lhe interessam como JSON ou CSV e trabalhe a partir deles.