v1.1.0 - CODE BLUE Release

Released 2026/11/11.

Juntei 1.1.0 adds a super timeline that brings every parsed artifact, and Hayabusa results, into one timeline. It also reads VHDX and E01 disk images natively and adds parsers for web browsers, Outlook mail stores and Windows Server User Access Logging.

New Features

• super-timeline: turns the results of auto-parse into one CSV or JSONL timeline with a common schema. Each timestamp becomes a separately labeled event, such as each run time of a Prefetch record and each of the eight or more file times of an MFT record, together with what the timestamp means and where it came from. --hayabusa adds existing Hayabusa JSONL timelines, --profile timesketch writes a Timesketch import, and --sort sorts the events chronologically within a memory budget and consolidates duplicates.

• Disk images: auto-parse --vhdx and auto-parse --e01 parse VHDX and E01/Ex01 images directly on Windows, Linux and macOS, without FUSE, mounting the image or administrator rights. Only the parser inputs are copied to a temporary workspace, which is removed afterwards, including after Ctrl+C. On Linux, mount mounts the NTFS volumes of a VHDX or E01 image read-only through FUSE, without root, so that other tools such as Hayabusa can read the files.

• New parsers:

  • parse-sqlite browser: the visits, downloads, cookies and form history of Chromium-based browsers and Firefox, with deleted entries recovered.
  • parse-ese webcache: the Internet Explorer and legacy Edge history, downloads, cookies and cache in WebCacheV01.dat.
  • parse-file outlook: Outlook PST and OST stores and .msg/.oft files: folders, items, recipients, attachments (with SHA-256, optionally extracted), contacts, calendar items and tasks.
  • parse-ese ual: the User Access Logging databases of Windows Server: which client addresses and accounts used each server role, and when.

  auto-parse runs them all. It saves their results in the new BrowserActivity and Communication categories, and UAL in LateralMovement, and adds them to the -j timeline.

Bug Fixes

• Amcache, and the SOFTWARE hive that SRUM uses for account and Wi-Fi names, are now read with their transaction logs replayed. When its logs are collected, a dirty Amcache hive no longer fails with Invalid hbin.
• auto-parse labels failed parser tasks as Parsing error in the results summary and links to their logs.

Downloads

System	Zip
Windows x64	juntei-1.1.0-win-x64.zip
Windows Arm64	juntei-1.1.0-win-aarch64.zip
Linux x64	juntei-1.1.0-lin-x64-gnu.zip or juntei-1.1.0-lin-x64-musl.zip
Linux Arm64	juntei-1.1.0-lin-aarch64-gnu.zip or juntei-1.1.0-lin-aarch64-musl.zip
macOS (Apple silicon)	juntei-1.1.0-mac-aarch64.zip
macOS (Intel)	juntei-1.1.0-mac-x64.zip
Every platform	juntei-1.1.0-all-platforms.zip

Each zip holds just the binary, named with the version and platform. Juntei needs no other files, and the Windows binary does not need the Visual C++ Redistributable. The musl Linux binaries are statically linked and run on any distribution; the gnu ones need a recent glibc. On macOS, allow the downloaded binary in System Settings > Privacy & Security, or remove its quarantine attribute with xattr -d com.apple.quarantine juntei-1.1.0-mac-*.

unzip juntei-1.1.0-lin-x64-musl.zip
./juntei-1.1.0-lin-x64-musl auto-parse -d <EVIDENCE> -o <OUTPUT>
./juntei-1.1.0-lin-x64-musl super-timeline -d <OUTPUT> -o SuperTimeline.csv

The Juntei documentation explains how to collect evidence, parse every supported artifact and interpret each output field.

Contributors

• @YamatoSecurity

See CHANGELOG.md for full details.

---

日本語

2026/11/11 リリース。

Juntei 1.1.0 では、解析したすべてのアーティファクトと Hayabusa の結果を一つにまとめるスーパー タイムラインが加わりました。VHDX と E01 のディスク イメージをネイティブに読み取れるようになり、Web ブラウザー、Outlook のメール ストア、Windows Server のユーザー アクセス ログ (UAL) のパーサーも追加されています。

新機能

• super-timeline: auto-parse の結果を、共通スキーマを持つ単一の CSV または JSONL タイムラインに変換します。Prefetch レコードの各実行時刻や、MFT レコードの 8 つ以上のファイル時刻など、タイムスタンプはそれぞれ個別のラベル付きイベントになり、そのタイムスタンプの意味と出所も記録されます。--hayabusa で既存の Hayabusa JSONL タイムラインを追加でき、--profile timesketch で Timesketch のインポート形式を出力し、--sort でメモリ使用量の上限内でイベントを時系列に並べ替えて重複を統合します。

• ディスク イメージ: auto-parse --vhdx と auto-parse --e01 は、VHDX と E01/Ex01 イメージを Windows、Linux、macOS 上で直接解析します。FUSE、イメージのマウント、管理者権限は不要です。一時作業領域にはパーサーの入力ファイルだけがコピーされ、Ctrl+C で中断した場合も含めて処理後に削除されます。Linux では、mount で VHDX または E01 イメージの NTFS ボリュームを FUSE 経由で読み取り専用にマウントでき (root 不要)、Hayabusa などの他のツールからファイルを読み取れます。

• 新しいパーサー:

  • parse-sqlite browser: Chromium 系ブラウザーと Firefox の閲覧履歴、ダウンロード、Cookie、フォーム履歴。削除されたエントリーも復元します。
  • parse-ese webcache: WebCacheV01.dat に記録された Internet Explorer と旧 Edge の履歴、ダウンロード、Cookie、キャッシュ。
  • parse-file outlook: Outlook の PST・OST ストアと .msg/.oft ファイル。フォルダー、アイテム、受信者、添付ファイル (SHA-256 付き、抽出も可能)、連絡先、予定表アイテム、タスク。
  • parse-ese ual: Windows Server のユーザー アクセス ログ (UAL) データベース。どのクライアント アドレスとアカウントが、いつ各サーバーの役割を利用したかがわかります。

  auto-parse はこれらすべてを実行し、結果を新しい BrowserActivity カテゴリと Communication カテゴリに、UAL は LateralMovement に保存して、-j のタイムラインにも追加します。

バグ修正

• Amcache と、SRUM がアカウント名と Wi-Fi 名に使う SOFTWARE ハイブを、トランザクション ログを再生してから読み取るようになりました。ログを収集していれば、ダーティ状態の Amcache ハイブが Invalid hbin で失敗することはなくなります。
• auto-parse は、失敗したパーサー タスクを結果サマリーで Parsing error と表示し、そのログへのリンクを示します。

ダウンロード

システム	zip
Windows x64	juntei-1.1.0-win-x64.zip
Windows Arm64	juntei-1.1.0-win-aarch64.zip
Linux x64	juntei-1.1.0-lin-x64-gnu.zip または juntei-1.1.0-lin-x64-musl.zip
Linux Arm64	juntei-1.1.0-lin-aarch64-gnu.zip または juntei-1.1.0-lin-aarch64-musl.zip
macOS (Apple シリコン)	juntei-1.1.0-mac-aarch64.zip
macOS (Intel)	juntei-1.1.0-mac-x64.zip
全プラットフォーム	juntei-1.1.0-all-platforms.zip

各 zip に入っているのは、バージョンとプラットフォーム名の付いたバイナリだけです。Juntei は他のファイルを必要とせず、Windows 版は Visual C++ 再頒布可能パッケージも不要です。Linux の musl 版は静的リンクされており、どのディストリビューションでも動作します。gnu 版には新しい glibc が必要です。macOS では、ダウンロードしたバイナリを「システム設定」>「プライバシーとセキュリティ」で許可するか、xattr -d com.apple.quarantine juntei-1.1.0-mac-* で隔離属性を削除してください。

unzip juntei-1.1.0-lin-x64-musl.zip
./juntei-1.1.0-lin-x64-musl auto-parse -d <EVIDENCE> -o <OUTPUT>
./juntei-1.1.0-lin-x64-musl super-timeline -d <OUTPUT> -o SuperTimeline.csv

Juntei のドキュメントでは、証拠の収集方法、対応するすべてのアーティファクトの解析方法、各出力フィールドの読み方を説明しています。

コントリビューター

• @YamatoSecurity

詳細は CHANGELOG.md をご覧ください。

v1.0.0 - CODE BLUE Release

Released 2026/11/04.

The first release of Juntei, a Windows forensics artifact parser by Yamato Security and a sibling of Hayabusa for the artifacts that are not event logs. It parses 38 of the most popular Windows forensic artifacts from collected evidence into CSV, JSON or JSONL.

New Features

• auto-parse: give it a triage collection (-d) and it finds every Windows system in it, identifies each computer from Velociraptor's client_info.json, its SYSTEM hive or its directory, and runs every parser in parallel. Results are grouped by computer and investigative category (ProcessExecution, FileSystem, Persistence, ...), with a log beside each result and JSON and CSV manifests of every task. -j also writes a single JSONL timeline for a SIEM, and -Z shows the times at a fixed UTC offset. No absolute path appears anywhere in the output.
• Individual parsers, grouped by source:
  • parse-ese: SRUM.
  • parse-file: Defender quarantine (with optional extraction of the quarantined files), jump lists, LNK shortcuts and Prefetch.
  • parse-ntfs: $MFT, $I30 directory indexes, $LogFile, the USN journal, $Boot and $Secure:$SDS.
  • parse-registry: Amcache, ShimCache, application compatibility, BAM/DAM, UserAssist, FeatureUsage, MuiCache, ShellBags, recent documents, Open/Save dialogs, MRU lists, Office, USB devices, services, scheduled tasks (TaskCache), registry autostarts, boot configuration (BCD), SAM, LSA secrets, installed programs, application history, remote access, networks, system information, audit policy and security settings. read shows any key and value, with transaction-log replay and deleted keys and values.
• persistence-hunter: a native Rust port of Hexastrike's PyrsistenceSniper with 131 offline persistence checks across registry hives, scheduled tasks, startup files, WMI and BITS: allow/block profiles, payload hashes and signature metadata, MFT and event log timestamps, and per-check coverage.

Downloads

System	Zip
Windows x64	juntei-1.0.0-win-x64.zip
Windows Arm64	juntei-1.0.0-win-aarch64.zip
Linux x64	juntei-1.0.0-lin-x64-gnu.zip or juntei-1.0.0-lin-x64-musl.zip
Linux Arm64	juntei-1.0.0-lin-aarch64-gnu.zip or juntei-1.0.0-lin-aarch64-musl.zip
macOS (Apple silicon)	juntei-1.0.0-mac-aarch64.zip
macOS (Intel)	juntei-1.0.0-mac-x64.zip
Every platform	juntei-1.0.0-all-platforms.zip

Each zip holds just the binary, named with the version and platform. Juntei needs no other files, and the Windows binary does not need the Visual C++ Redistributable. The musl Linux binaries are statically linked and run on any distribution; the gnu ones need a recent glibc. On macOS, allow the downloaded binary in System Settings > Privacy & Security, or remove its quarantine attribute with xattr -d com.apple.quarantine juntei-1.0.0-mac-*.

unzip juntei-1.0.0-lin-x64-musl.zip
./juntei-1.0.0-lin-x64-musl auto-parse -d <EVIDENCE> -o <OUTPUT>

The Juntei documentation explains how to collect evidence, parse every supported artifact and interpret each output field.

Contributors

• @YamatoSecurity

See CHANGELOG.md for full details.

---

日本語

2026/11/04 リリース。

Juntei の最初のリリースです。Juntei は Yamato Security による Windows フォレンジック アーティファクト パーサーで、イベントログ以外のアーティファクトを扱う Hayabusa の兄弟ツールです。収集した証拠から、よく使われる 38 種類の Windows フォレンジック アーティファクトを CSV、JSON、JSONL に解析します。

新機能

• auto-parse: トリアージ コレクション (-d) を指定すると、その中のすべての Windows システムを見つけ、Velociraptor の client_info.json、SYSTEM ハイブ、またはディレクトリ名から各コンピューターを特定し、すべてのパーサーを並列に実行します。結果はコンピューターと調査カテゴリ (ProcessExecution、FileSystem、Persistence など) ごとにまとめられ、各結果の横にログが、全タスクの JSON と CSV のマニフェストが保存されます。-j で SIEM 用の単一の JSONL タイムラインも作成でき、-Z で時刻を固定の UTC オフセットで表示します。出力には絶対パスが一切含まれません。
• 個別のパーサー (ソースの種類ごと):
  • parse-ese: SRUM。
  • parse-file: Defender の隔離ファイル (隔離されたファイルの抽出も可能)、ジャンプリスト、LNK ショートカット、Prefetch。
  • parse-ntfs: $MFT、$I30 ディレクトリ インデックス、$LogFile、USN ジャーナル、$Boot、$Secure:$SDS。
  • parse-registry: Amcache、ShimCache、アプリケーション互換性、BAM/DAM、UserAssist、FeatureUsage、MuiCache、ShellBags、最近使ったドキュメント、ファイルを開く/保存ダイアログ、MRU リスト、Office、USB デバイス、サービス、スケジュールされたタスク (TaskCache)、レジストリの自動起動、ブート構成 (BCD)、SAM、LSA シークレット、インストール済みプログラム、アプリケーション履歴、リモート アクセス、ネットワーク、システム情報、監査ポリシー、セキュリティ設定。read は任意のキーと値を、トランザクション ログの再生と削除されたキー・値を含めて表示します。
• persistence-hunter: Hexastrike の PyrsistenceSniper の Rust ネイティブ移植版です。レジストリ ハイブ、スケジュールされたタスク、スタートアップ ファイル、WMI、BITS にわたる 131 のオフライン永続化チェックを備え、許可/ブロック プロファイル、ペイロードのハッシュと署名メタデータ、MFT とイベントログのタイムスタンプ、チェックごとのカバレッジを出力します。

ダウンロード

システム	zip
Windows x64	juntei-1.0.0-win-x64.zip
Windows Arm64	juntei-1.0.0-win-aarch64.zip
Linux x64	juntei-1.0.0-lin-x64-gnu.zip または juntei-1.0.0-lin-x64-musl.zip
Linux Arm64	juntei-1.0.0-lin-aarch64-gnu.zip または juntei-1.0.0-lin-aarch64-musl.zip
macOS (Apple シリコン)	juntei-1.0.0-mac-aarch64.zip
macOS (Intel)	juntei-1.0.0-mac-x64.zip
全プラットフォーム	juntei-1.0.0-all-platforms.zip

各 zip に入っているのは、バージョンとプラットフォーム名の付いたバイナリだけです。Juntei は他のファイルを必要とせず、Windows 版は Visual C++ 再頒布可能パッケージも不要です。Linux の musl 版は静的リンクされており、どのディストリビューションでも動作します。gnu 版には新しい glibc が必要です。macOS では、ダウンロードしたバイナリを「システム設定」>「プライバシーとセキュリティ」で許可するか、xattr -d com.apple.quarantine juntei-1.0.0-mac-* で隔離属性を削除してください。

unzip juntei-1.0.0-lin-x64-musl.zip
./juntei-1.0.0-lin-x64-musl auto-parse -d <EVIDENCE> -o <OUTPUT>

Juntei のドキュメントでは、証拠の収集方法、対応するすべてのアーティファクトの解析方法、各出力フィールドの読み方を説明しています。

コントリビューター

• @YamatoSecurity

詳細は CHANGELOG.md をご覧ください。