ShellBags y carpetas borradas: probar que existieron
Demuestre con los ShellBags que una carpeta borrada o renombrada existió: ruta, fechas incrustadas, entrada y secuencia MFT, $MFT y diario USN.
Artículos etiquetados: #user-activity
ShellBags y archivos ZIP: probar la navegación interna
Cómo registran los ShellBags la navegación dentro de ZIP y otros archivos comprimidos en el Explorador, qué contienen esos items y cómo interpretar sus rutas.
ShellBags frente a archivos LNK, Jump Lists y RecentDocs
Cuatro artefactos de actividad comparados: qué registran ShellBags, archivos LNK, Jump Lists y RecentDocs, qué prueban y cuáles son sus puntos ciegos.
Cómo analizar ShellBags online con un parser en el navegador
Paso a paso: analizar UsrClass.dat y NTUSER.DAT en el navegador, leer el árbol y la cronología, cribar carpetas señaladas y exportar a CSV o JSON.
Análisis forense de ShellBags: la guía completa
Qué son los ShellBags, dónde los guarda Windows, qué prueban BagMRU y los shell items, cómo leer sus fechas y dónde engaña el artefacto al analista.