El navegador Tor se utiliza ampliamente para la anonimidad, proporcionando cifrado en capas para una mayor privacidad. Además de sus usos positivos, también es popular entre los ciberdelincuentes para actividades ilegales como el tráfico, el contrabando, las apuestas y el comercio ilícito. Existe la necesidad de realizar análisis forenses del navegador Tor para identificar su uso en actividades ilegales y explorar sus consecuencias. Esta investigación analiza los artefactos generados por Tor en sistemas basados en Windows. La metodología integra técnicas forenses en las respuestas a incidentes según NIST SP (800-86), explorando áreas como el registro, el almacenamiento, la red y la memoria utilizando herramientas como bulk-extractor, autopsy y regshot. Proponemos un script de PowerShell automatizado que detecta el uso de Tor y recupera artefactos con mínima interacción del usuario. Finalmente, esta investigación realiza un análisis de cronología y correlación de artefactos para una comprensión contextual de las secuencias de eventos en los dominios de memoria y red, contribuyendo en última instancia a mejorar la respuesta a incidentes y la rendición de cuentas.