Alternatives à ShellBags Explorer : SBECmd, RegRipper…
Comparatif honnête des outils ShellBags : ShellBags Explorer, SBECmd, RegRipper, Velociraptor, shellbags.py, Volatility et un parseur navigateur.
Blog
Articles, guides et nouveautés.
Limites et anti-forensique des ShellBags : les pièges
Ce que les ShellBags ne prouvent pas, ce qui n'en crée jamais, comment PrivaZer ou CCleaner les effacent, et les traces laissées par la suppression.
ShellBags et dossiers supprimés : prouver leur existence
Prouver avec les ShellBags qu'un dossier supprimé ou renommé a existé : chemin, dates embarquées, entrée et séquence MFT, puis la $MFT et l'USN.
ShellBags et fichiers ZIP : prouver la navigation
Comment les ShellBags enregistrent la navigation dans les ZIP et autres archives via l'Explorateur, le contenu de ces items et l'interprétation des chemins.
ShellBags et clés USB : un cas d'investigation commenté
Cas fictif pas à pas : les ShellBags montrent un compte de service qui parcourt un ZIP, un partage finance et une clé USB. Ce qu'ils prouvent ou non.
ShellBags sous Windows 11, 10, 7 et XP : ce qui change
Les ShellBags de Windows XP, Vista, 7, 8.1, 10 et 11 : emplacement des ruches, versions du bloc d'extension, dossiers racines et archives natives.
ShellBags vs fichiers LNK, Jump Lists et RecentDocs
Quatre artefacts d'activité comparés : ce qu'enregistrent ShellBags, fichiers LNK, Jump Lists et RecentDocs, ce qu'ils prouvent et leurs angles morts.
Format des shell items : dans une entrée ShellBags
Les shell items des valeurs BagMRU octet par octet : types de classe, items file entry, bloc 0xBEEF0004, références MFT et items réseau, pour l'analyste.
Horodatages des ShellBags : ce que signifie chaque date
LastWrite de clé, dernière interaction dérivée du MRUListEx, dates FAT embarquées : ce que prouve chaque horodatage des ShellBags, exemple et pièges à éviter.