ShellBags et dossiers supprimés : prouver leur existence
Prouver avec les ShellBags qu'un dossier supprimé ou renommé a existé : chemin, dates embarquées, entrée et séquence MFT, puis la $MFT et l'USN.
Articles tagués: #timeline-analysis
ShellBags et clés USB : un cas d'investigation commenté
Cas fictif pas à pas : les ShellBags montrent un compte de service qui parcourt un ZIP, un partage finance et une clé USB. Ce qu'ils prouvent ou non.
ShellBags vs fichiers LNK, Jump Lists et RecentDocs
Quatre artefacts d'activité comparés : ce qu'enregistrent ShellBags, fichiers LNK, Jump Lists et RecentDocs, ce qu'ils prouvent et leurs angles morts.
Horodatages des ShellBags : ce que signifie chaque date
LastWrite de clé, dernière interaction dérivée du MRUListEx, dates FAT embarquées : ce que prouve chaque horodatage des ShellBags, exemple et pièges à éviter.