Вообще, так как cow хранит старое нередко, можно анализатор сделать с таймлайном и все накопленные отличия, не перетертые и созданные начиная с предполагаемой даты взлома, показать. С фильтрами.