ShellBags Parser

Empfohlen · in Windows enthalten

Windows 10/11 oder Server 2016+. In eine PowerShell einfügen, die mit „Als Administrator ausführen“ geöffnet wurde. Kopiert Hives und Logs aller Profile über eine Schattenkopie (esentutl /vss); keine Installation nötig.

$out = 'C:\triage'
Get-ChildItem C:\Users -Directory | ForEach-Object {
  foreach ($rel in 'NTUSER.DAT', 'NTUSER.DAT.LOG1', 'NTUSER.DAT.LOG2',
      'AppData\Local\Microsoft\Windows\UsrClass.dat',
      'AppData\Local\Microsoft\Windows\UsrClass.dat.LOG1',
      'AppData\Local\Microsoft\Windows\UsrClass.dat.LOG2') {
    $src = Join-Path $_.FullName $rel
    if (Test-Path -LiteralPath $src) {
      $dst = Join-Path "$out\Users\$($_.Name)" $rel
      New-Item -ItemType Directory -Force -Path (Split-Path $dst) | Out-Null
      esentutl.exe /y $src /vss /d $dst
    }
  }
}
attrib -h -s "$out\*" /s /d

Ergebnis: C:\triage\Users\<Name>\… pro Konto. Den Ordner C:\triage hier ablegen, oder ihn zippen und das ZIP ablegen.

KAPE

KAPE, als Administrator ausgeführt. Das Target RegistryHivesUser liest NTUSER.DAT, UsrClass.dat und ihre Logs aller Profile roh aus.

kape.exe --tsource C: --tdest C:\triage\kape --target RegistryHivesUser

Den Ordner C:\triage\kape ablegen: Die Struktur C\Users\<Name>\ bleibt erhalten, die Konten werden also unterschieden.

Velociraptor

Sammeln Sie in der Velociraptor-Oberfläche (Server Artifacts, ein Hunt oder Build offline collector) Windows.Triage.Targets aus dem Velociraptor-Triage-Projekt mit dem Target RegistryHivesUser und laden Sie das Collection-ZIP herunter. Der folgende Befehl gilt für ältere Versionen, die noch das frühere Artefakt Windows.KapeFiles.Targets mitliefern: das Binary als Administrator auf dem System ausführen (Offline-Sammlung, kein Server nötig).

mkdir C:\triage 2>nul & velociraptor.exe artifacts collect Windows.KapeFiles.Targets --args RegistryHivesUser=Y --output C:\triage\shellbags.zip

Das Collection-ZIP (oder C:\triage\shellbags.zip) unverändert ablegen. Die Sammlung nicht mit Passwort schützen: Verschlüsselte ZIPs müssen erst entpackt werden.

Eingebundenes Abbild

Das Abbild schreibgeschützt einbinden (Arsenal Image Mounter, FTK Imager…) und E: durch dessen Laufwerksbuchstaben ersetzen. Dateien in einem Abbild sind nicht gesperrt, eine normale Kopie genügt.

robocopy E:\Users C:\triage\Users NTUSER.DAT* UsrClass.dat* /S /XJ /A-:SH /R:0 /W:0

Kopiert NTUSER.DAT* und UsrClass.dat* (Hives + Logs) aller Profile nach C:\triage\Users\<Name>\…; diesen Ordner ablegen.

FTK Imager

1. File › Add Evidence Item › Image File (oder Logical Drive auf einem laufenden System).
2. Users\<Name>\ öffnen und NTUSER.DAT, NTUSER.DAT.LOG1 und NTUSER.DAT.LOG2 auswählen.
3. Rechtsklick › Export Files… nach C:\triage\Users\<Name>\.
4. Dasselbe für UsrClass.dat und seine Logs in Users\<Name>\AppData\Local\Microsoft\Windows\, dann für jedes weitere Konto.

Windows 7 bis 11 · die meisten ShellBags

C:\Users\<name>\AppData\Local\Microsoft\Windows\UsrClass.dat

Alle Versionen · Desktop- und Netzwerkeinträge

C:\Users\<name>\NTUSER.DAT

Windows XP · ShellNoRoam\BagMRU

C:\Documents and Settings\<name>\NTUSER.DAT

Die .LOG1- und .LOG2-Dateien neben jedem Hive mitnehmen: Einem „dirty“ Hive können die letzten Schreibvorgänge fehlen. Das Tool markiert solche Hives, spielt die Logs aber nicht ein.

Alles zusammen ablegen: ein Ordner Users\<Name>\ pro Konto, den ganzen Ordner oder ein ZIP (KAPE- und Velociraptor-Sammlungen funktionieren unverändert).