Alternatives à ShellBags Explorer : SBECmd, RegRipper…
Comparatif honnête des outils ShellBags : ShellBags Explorer, SBECmd, RegRipper, Velociraptor, shellbags.py, Volatility et un parseur navigateur.
Articles tagués: #windows-registry
Limites et anti-forensique des ShellBags : les pièges
Ce que les ShellBags ne prouvent pas, ce qui n'en crée jamais, comment PrivaZer ou CCleaner les effacent, et les traces laissées par la suppression.
ShellBags sous Windows 11, 10, 7 et XP : ce qui change
Les ShellBags de Windows XP, Vista, 7, 8.1, 10 et 11 : emplacement des ruches, versions du bloc d'extension, dossiers racines et archives natives.
Format des shell items : dans une entrée ShellBags
Les shell items des valeurs BagMRU octet par octet : types de classe, items file entry, bloc 0xBEEF0004, références MFT et items réseau, pour l'analyste.
Horodatages des ShellBags : ce que signifie chaque date
LastWrite de clé, dernière interaction dérivée du MRUListEx, dates FAT embarquées : ce que prouve chaque horodatage des ShellBags, exemple et pièges à éviter.
Où sont stockés les ShellBags ? Emplacements et collecte
Emplacements des ShellBags dans UsrClass.dat et NTUSER.DAT, de Windows XP à 11, et collecte des ruches verrouillées avec leurs journaux de transactions.
ShellBags : le guide complet de l'analyse forensique
Ce que sont les ShellBags, où Windows les stocke, ce que prouvent BagMRU et les shell items, comment lire leurs horodatages et où l'artefact trompe l'analyste.