Alternativen zu ShellBags Explorer: SBECmd, RegRipper & Co.
Ein fairer Vergleich von ShellBags-Werkzeugen: ShellBags Explorer, SBECmd, RegRipper, Velociraptor, shellbags.py, Volatility und ein Browser-Parser.
Blog
Artikel, Leitfäden und Updates.
ShellBags: Grenzen und Anti-Forensik im Überblick
Was ShellBags nicht belegen, was nie welche erzeugt, wie PrivaZer oder CCleaner sie entfernen und welche Spuren Löschung und Manipulation hinterlassen.
Gelöschte Ordner mit ShellBags nachweisen
Mit ShellBags belegen, dass ein gelöschter oder umbenannter Ordner existierte: Pfad, eingebettete Zeiten, MFT-Eintrag und Sequenz, bestätigt über $MFT und USN.
ShellBags und ZIP-Dateien: Archivnavigation nachweisen
Wie ShellBags das Navigieren in ZIP-Dateien und anderen Archiven im Explorer aufzeichnen, was die Items im Archiv enthalten und wie man Archivpfade deutet.
ShellBags und USB-Forensik: ein Ermittlungsbeispiel
Ein fiktiver Fall Schritt für Schritt: ShellBags zeigen ein Dienstkonto in einem ZIP, einer Finanzfreigabe und auf einem USB-Stick. Was das belegt.
ShellBags unter Windows 11, 10, 7 und XP: was sich ändert
Wie sich ShellBags zwischen Windows XP, Vista, 7, 8.1, 10 und 11 unterscheiden: Hive-Speicherorte, Erweiterungsblock-Versionen, Root-Ordner, native Archive.
ShellBags vs. LNK-Dateien, Jump Lists und RecentDocs
Vier Artefakte der Benutzeraktivität im Vergleich: was ShellBags, LNK-Dateien, Jump Lists und RecentDocs aufzeichnen, was sie belegen und wo sie blind sind.
Shell-Item-Format erklärt: im Inneren eines ShellBags
Die Shell-Items in BagMRU-Werten Byte für Byte: Klassentypen, File-Entry-Items, der 0xBEEF0004-Block, MFT-Referenzen und Netzwerk-Items für die Forensik.
ShellBags-Zeitstempel erklärt: was jede Zeit bedeutet
Schlüssel-LastWrite, aus MRUListEx abgeleitete letzte Interaktion und eingebettete FAT-Zeiten: was jeder ShellBags-Zeitstempel belegt, mit Beispiel und Fallen.