ShellBags online auswerten mit einem Browser-Parser
Schritt für Schritt: UsrClass.dat und NTUSER.DAT im Browser auswerten, Baum und Zeitachse lesen, markierte Ordner sichten und als CSV oder JSON exportieren.
Blog
Speicherort der ShellBags: Registry-Pfade und Sicherung
ShellBags-Speicherorte in UsrClass.dat und NTUSER.DAT von Windows XP bis 11 und wie Sie gesperrte Hives samt Transaktionsprotokollen pro Benutzer sichern.
ShellBags Forensik: der vollständige Leitfaden
Was ShellBags sind, wo Windows sie speichert, was BagMRU und Shell-Items beweisen, wie man ihre Zeitstempel liest und wo das Artefakt in die Irre führt.