Alternativas a ShellBags Explorer: SBECmd, RegRipper y más
Comparativa justa de herramientas de ShellBags: ShellBags Explorer, SBECmd, RegRipper, Velociraptor, shellbags.py, Volatility y un parser web.
Artículos etiquetados: #shellbags
Limitaciones y antiforense de los ShellBags
Lo que los ShellBags no pueden probar, lo que nunca los crea, cómo los borran PrivaZer o CCleaner y los rastros que dejan el borrado y la manipulación.
ShellBags y carpetas borradas: probar que existieron
Demuestre con los ShellBags que una carpeta borrada o renombrada existió: ruta, fechas incrustadas, entrada y secuencia MFT, $MFT y diario USN.
ShellBags y archivos ZIP: probar la navegación interna
Cómo registran los ShellBags la navegación dentro de ZIP y otros archivos comprimidos en el Explorador, qué contienen esos items y cómo interpretar sus rutas.
ShellBags y memorias USB: un caso de investigación práctico
Un caso ficticio paso a paso: los ShellBags muestran una cuenta de servicio que recorre un ZIP, un recurso de finanzas y un USB. Qué prueban y qué no.
ShellBags en Windows 11, 10, 7 y XP: qué ha cambiado
Diferencias de los ShellBags entre Windows XP, Vista, 7, 8.1, 10 y 11: ubicación de hives, versiones del bloque de extensión y carpetas raíz.
ShellBags frente a archivos LNK, Jump Lists y RecentDocs
Cuatro artefactos de actividad comparados: qué registran ShellBags, archivos LNK, Jump Lists y RecentDocs, qué prueban y cuáles son sus puntos ciegos.
Formato de los shell items: dentro de un ShellBag
Los shell items de los valores BagMRU byte a byte: tipos de clase, items file entry, bloque 0xBEEF0004, referencias MFT e items de red, para analistas.
Marcas de tiempo de ShellBags: qué significa cada fecha
LastWrite de clave, última interacción derivada del MRUListEx y fechas FAT incrustadas: qué prueba cada fecha de los ShellBags, con ejemplo y trampas.
Cómo analizar ShellBags online con un parser en el navegador
Paso a paso: analizar UsrClass.dat y NTUSER.DAT en el navegador, leer el árbol y la cronología, cribar carpetas señaladas y exportar a CSV o JSON.
¿Dónde se guardan los ShellBags? Ubicación y adquisición
Ubicación de los ShellBags en UsrClass.dat y NTUSER.DAT de Windows XP a 11, y cómo adquirir los hives bloqueados con sus registros de transacciones.
Análisis forense de ShellBags: la guía completa
Qué son los ShellBags, dónde los guarda Windows, qué prueban BagMRU y los shell items, cómo leer sus fechas y dónde engaña el artefacto al analista.