Jump Lists : fiche forensique

Présentation

Les Jump Lists, apparues avec Windows 7, sont les menus d'éléments récents, fréquents et épinglés propres à chaque application, affichés par un clic droit sur une icône de la barre des tâches ou du menu Démarrer. Windows conserve un fichier par application, nommé d'après son AppID. Chaque fichier contient des enregistrements au format LNK des éléments utilisés avec cette application : les Jump Lists apportent donc ce qui manque à un simple LNK, à savoir quel programme a ouvert le fichier, ainsi que des métadonnées d'usage conservées dans le flux DestList.

Emplacement

Version de Windows	Chemin	Format
7 / 8 / 10 / 11	`C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\<AppID>.automaticDestinations-ms`	Fichier composé OLE : un flux `DestList` et un flux LNK par entrée
7 / 8 / 10 / 11	`C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\<AppID>.customDestinations-ms`	Entrées LNK concaténées, regroupées par catégories, sans `DestList`

L'AppID compte 16 caractères hexadécimaux dérivés de l'application (par exemple 9b9cdc69c1c24e2b pour le Bloc-notes 64 bits, 5f7b5f1e01b83767 pour l'Accès rapide, 1bc392b8e104a00e pour la Connexion Bureau à distance). Des listes publiques d'AppID couvrent les programmes courants ; un même programme peut avoir plusieurs AppID selon la version et l'architecture.

Ce que l'artefact prouve

Accès à un fichier rattaché à une application : un document présent dans la Jump List de Word, du Bloc-notes, de VLC ou de 7-Zip montre avec quel programme l'utilisateur l'a ouvert.
Quand et combien de fois : date du dernier accès par entrée et, à partir de Windows 10, nombre d'accès.
Intention de l'utilisateur : les entrées épinglées ont été conservées volontairement.
Accès distants : la Jump List de la Connexion Bureau à distance liste les hôtes auxquels l'utilisateur s'est connecté (voir connexions RDP).
Chaque LNK intégré porte le chemin de la cible, le numéro de série du volume, le type de lecteur et les horodatages de la cible, comme un fichier LNK autonome.
Il ne prouve pas que le contenu a été lu ou modifié, et les entrées de CustomDestinations (tâches, sites épinglés) peuvent être définies par l'application plutôt qu'utilisées par la personne.

Champs clés

Champ	Signification
AppID (nom de fichier)	Identifie l'application propriétaire de la liste
En-tête `DestList` : version	1 sous Windows 7, 3 ou 4 à partir de Windows 10
En-tête `DestList` : compteurs	Nombre d'entrées, nombre d'entrées épinglées, dernier numéro d'entrée
Numéro d'entrée	Relie une entrée `DestList` à son flux LNK (le nom du flux est ce numéro en hexadécimal)
Dernier accès	Dernière utilisation de l'élément avec cette application (FILETIME)
État d'épinglage	`-1` = non épinglé ; 0 ou plus = position épinglée
Nombre d'accès	Nombre d'utilisations (DestList version 3 et suivantes, Windows 10+)
Nom d'hôte	Nom NetBIOS de la machine où l'élément a été enregistré
Identifiants droid	Identifiants d'objet du volume et du fichier, comme dans le TrackerDataBlock des LNK (adresse MAC)
Chemin	Chemin complet ou URL de l'élément

Horodatages

Horodatage	Positionné quand	Format	Pièges
Dernier accès `DestList`	L'élément a été ouvert avec cette application	FILETIME, UTC	Le plus fiable par entrée ; une seule valeur, les usages antérieurs ne subsistent que dans le compteur
Horodatages de la cible (LNK intégré)	Copiés depuis la cible à l'écriture de l'entrée	FILETIME, UTC	Décrivent le fichier cible, pas l'action de l'utilisateur
Création du fichier Jump List ($SI)	Premier élément enregistré pour cet AppID	NTFS, UTC	Non rattachée à une entrée précise
Modification du fichier Jump List ($SI)	Dernière mise à jour de la liste	NTFS, UTC	Correspond à l'activité DestList la plus récente, pas à chaque entrée

Rétention et effacement

Les entrées se renouvellent à mesure que la liste de l'application grossit ; les éléments épinglés sont conservés. Chaque application gère sa propre liste : un programme très utilisé perd ses anciennes entrées plus vite qu'un programme rarement lancé.
Retirer un élément (« Supprimer de cette liste »), effacer l'historique de l'Explorateur ou passer Start_TrackDocs à 0 (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced) supprime des entrées ou bloque les nouvelles.
Désinstaller une application ne supprime pas forcément sa Jump List, qui peut survivre au programme.
Les fichiers .automaticDestinations-ms ou flux supprimés peuvent se retrouver dans les clichés instantanés, la $MFT ou l'espace non alloué.

Collecte

Cible KAPE : JumpLists (les deux dossiers), également couverts par LNKFilesAndJumpLists.
Velociraptor (Windows.Triage.Targets) : JumpLists ou LNKFilesAndJumpLists. Windows.Forensics.JumpLists analyse les AutomaticDestinations en direct.
Commandes natives : les fichiers ne sont pas verrouillés ; copiez les deux dossiers avec leurs horodatages :

robocopy "C:\Users\alice\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations" E:\case\alice\AutomaticDestinations /COPY:DAT /DCOPY:T
robocopy "C:\Users\alice\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations" E:\case\alice\CustomDestinations /COPY:DAT /DCOPY:T

Outils d'analyse

JLECmd (Eric Zimmerman, gratuit) : JLECmd.exe -d E:\case --csv E:\out analyse les deux types de Jump Lists, résout les AppID et restitue les données DestList avec le détail complet des LNK intégrés.
libolecf (Joachim Metz, open source) : lit le conteneur OLE ; le projet dtformats documente les formats Jump List et DestList.
Velociraptor : Windows.Forensics.JumpLists, avec une table d'AppID intégrée.
Plaso : parseurs olecf_automatic_destinations (plugin OLECF) et custom_destinations pour les super-chronologies.

Conseils d'investigation

Commencez par les AppID présents : un AppID de rclone, WinSCP, 7-Zip ou d'un outil d'accès à distance est déjà une piste, avant même de lire les entrées.
La liste de la Connexion Bureau à distance (1bc392b8e104a00e) révèle rapidement les destinations de mouvement latéral vues depuis le poste de l'utilisateur.
Filtrez les entrées dont le LNK intégré désigne un lecteur amovible et pivotez sur le numéro de série du volume pour rattacher des documents à une clé USB.
Servez-vous du nombre d'accès (Windows 10+) pour distinguer une ouverture ponctuelle d'un usage régulier d'un document.
Corrélez avec les fichiers LNK, RecentDocs et les ShellBags : les Jump Lists conservent souvent des entrées après l'écrasement du LNK de Recent.
Un nom d'hôte DestList différent de celui de la machine examinée peut signaler un profil copié ou itinérant.

Jump Lists

Outils