Chế độ Phân tích Pháp y tìm thấy các bản ghi mà nhật ký không còn có
Mỗi khối của tệp EVTX bắt đầu bằng tám byte giống nhau và có độ dài chính xác 65.536 byte. Chế độ Phân tích Pháp y dựa vào điều này. Nó bỏ qua hoàn toàn tiêu đề tệp và quét tệp, ảnh đĩa hoặc toàn bộ ổ đĩa từng byte, lấy các khối mà trình đọc thông thường không bao giờ đạt tới. Các bản ghi còn lại trong không gian trống sau khi nhật ký bị xóa hoặc xoay vòng. Một nhật ký có tiêu đề bị hỏng - trên tệp thử nghiệm với tiêu đề bị xóa, nó lấy ra 23.367 sự kiện từ 316 khối trong khoảng một giây rưỡi. Một khối được tìm thấy hai lần sẽ được nhận dạng và hiển thị một lần, do đó, quét ổ đĩa không đọc các sự kiện giống nhau ba lần cho bạn. Trong chương trình, nó nằm trong menu Tệp dưới tên 'Quét sâu các sự kiện bị mất'.