ShellBags y carpetas borradas: probar que existieron
Demuestre con los ShellBags que una carpeta borrada o renombrada existió: ruta, fechas incrustadas, entrada y secuencia MFT, $MFT y diario USN.
Artículos etiquetados: #timeline-analysis
ShellBags y memorias USB: un caso de investigación práctico
Un caso ficticio paso a paso: los ShellBags muestran una cuenta de servicio que recorre un ZIP, un recurso de finanzas y un USB. Qué prueban y qué no.
ShellBags frente a archivos LNK, Jump Lists y RecentDocs
Cuatro artefactos de actividad comparados: qué registran ShellBags, archivos LNK, Jump Lists y RecentDocs, qué prueban y cuáles son sus puntos ciegos.
Marcas de tiempo de ShellBags: qué significa cada fecha
LastWrite de clave, última interacción derivada del MRUListEx y fechas FAT incrustadas: qué prueba cada fecha de los ShellBags, con ejemplo y trampas.