ShellBags et dossiers supprimés : prouver leur existence
Prouver avec les ShellBags qu'un dossier supprimé ou renommé a existé : chemin, dates embarquées, entrée et séquence MFT, puis la $MFT et l'USN.
Articles tagués: #user-activity
ShellBags et fichiers ZIP : prouver la navigation
Comment les ShellBags enregistrent la navigation dans les ZIP et autres archives via l'Explorateur, le contenu de ces items et l'interprétation des chemins.
ShellBags vs fichiers LNK, Jump Lists et RecentDocs
Quatre artefacts d'activité comparés : ce qu'enregistrent ShellBags, fichiers LNK, Jump Lists et RecentDocs, ce qu'ils prouvent et leurs angles morts.
Analyser des ShellBags en ligne avec un parseur navigateur
Pas à pas : analyser UsrClass.dat et NTUSER.DAT dans le navigateur, lire l'arborescence et la chronologie, trier les dossiers signalés, exporter en CSV ou JSON.
ShellBags : le guide complet de l'analyse forensique
Ce que sont les ShellBags, où Windows les stocke, ce que prouvent BagMRU et les shell items, comment lire leurs horodatages et où l'artefact trompe l'analyste.