怎么监控某个 exe 在本地创建和删除文件夹的记录并恢复其快速删除的文件

[keyG7]

现在已知这个 exe 在本地运行时会创建和删除文件夹和文件。
怎么监控该 exe 程序创建和删除的文件路径及其他信息呢？
并且由于该程序创建和删除的文件是在一瞬间快速删除的，该怎么获取该程序快速删除的文件呢？
试了 process moniter 能监控，但是程序删除的文件找不到。
也试了沙盒，但是找不到被删除的文件，是我使用方式不对吗？
顺便问一下，有什么好用的工具能根据程序抓包的吗？
大部分都是抓取全部的包 需要过滤

[daxin945]

文件行为监控的话试试 sysmon 吧，或者 osquery

[tool2dx]

写个 hook, 屏蔽 DeleteFile 这个 API 。

似乎沙盒默认也能删文件来着，只是不会污染原系统。

[dpx]

对应文件夹设置删除权限为拒绝。