Gelöschte Ordner mit ShellBags nachweisen
Mit ShellBags belegen, dass ein gelöschter oder umbenannter Ordner existierte: Pfad, eingebettete Zeiten, MFT-Eintrag und Sequenz, bestätigt über $MFT und USN.
Beiträge mit Tag: #user-activity
ShellBags und ZIP-Dateien: Archivnavigation nachweisen
Wie ShellBags das Navigieren in ZIP-Dateien und anderen Archiven im Explorer aufzeichnen, was die Items im Archiv enthalten und wie man Archivpfade deutet.
ShellBags vs. LNK-Dateien, Jump Lists und RecentDocs
Vier Artefakte der Benutzeraktivität im Vergleich: was ShellBags, LNK-Dateien, Jump Lists und RecentDocs aufzeichnen, was sie belegen und wo sie blind sind.
ShellBags online auswerten mit einem Browser-Parser
Schritt für Schritt: UsrClass.dat und NTUSER.DAT im Browser auswerten, Baum und Zeitachse lesen, markierte Ordner sichten und als CSV oder JSON exportieren.
ShellBags Forensik: der vollständige Leitfaden
Was ShellBags sind, wo Windows sie speichert, was BagMRU und Shell-Items beweisen, wie man ihre Zeitstempel liest und wo das Artefakt in die Irre führt.