Alternativas a ShellBags Explorer: SBECmd, RegRipper y más
Comparativa justa de herramientas de ShellBags: ShellBags Explorer, SBECmd, RegRipper, Velociraptor, shellbags.py, Volatility y un parser web.
Artículos etiquetados: #windows-registry
Limitaciones y antiforense de los ShellBags
Lo que los ShellBags no pueden probar, lo que nunca los crea, cómo los borran PrivaZer o CCleaner y los rastros que dejan el borrado y la manipulación.
ShellBags en Windows 11, 10, 7 y XP: qué ha cambiado
Diferencias de los ShellBags entre Windows XP, Vista, 7, 8.1, 10 y 11: ubicación de hives, versiones del bloque de extensión y carpetas raíz.
Formato de los shell items: dentro de un ShellBag
Los shell items de los valores BagMRU byte a byte: tipos de clase, items file entry, bloque 0xBEEF0004, referencias MFT e items de red, para analistas.
Marcas de tiempo de ShellBags: qué significa cada fecha
LastWrite de clave, última interacción derivada del MRUListEx y fechas FAT incrustadas: qué prueba cada fecha de los ShellBags, con ejemplo y trampas.
¿Dónde se guardan los ShellBags? Ubicación y adquisición
Ubicación de los ShellBags en UsrClass.dat y NTUSER.DAT de Windows XP a 11, y cómo adquirir los hives bloqueados con sus registros de transacciones.
Análisis forense de ShellBags: la guía completa
Qué son los ShellBags, dónde los guarda Windows, qué prueban BagMRU y los shell items, cómo leer sus fechas y dónde engaña el artefacto al analista.