Outil autonome conçu pour détecter des fichiers PE (Portable Executable) anormaux parmi les données NTFSInfo collectées par DFIR-ORC sur des systèmes Microsoft Windows. Il classe les fichiers PE du plus au moins anormal, permettant aux analystes en réponse aux incidents de prioriser leurs investigations. L'outil utilise des algorithmes de détection d'anomalies traditionnels et basés sur des graphes, sans analyser en profondeur le contenu binaire des fichiers. Il s'intègre facilement aux workflows de forensic et génère des rapports visuels et des fichiers CSV pour une analyse approfondie.