Fichiers LNK : fiche forensique

Présentation

Un fichier .lnk est un raccourci Windows (Shell Link). En plus des raccourcis créés par l'utilisateur ou les installeurs sur le Bureau et dans le menu Démarrer, l'Explorateur en crée un discrètement dans le dossier Recent de l'utilisateur chaque fois qu'un fichier est ouvert via le shell. Chaque LNK conserve un instantané de sa cible : chemin complet, liste de shell items, taille, horodatages et informations sur le volume ou le partage qui l'hébergeait. Le raccourci étant indépendant de la cible, il survit à la suppression du fichier, au retrait de la clé USB ou à la disparition du partage.

Emplacement

Version de Windows	Chemin	Remarques
XP	`C:\Documents and Settings\<user>\Recent\`	Raccourcis « récents » automatiques
Vista / 7 / 8 / 10 / 11	`C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\`	Raccourcis automatiques des fichiers ouverts et, sur les versions récentes, de leur dossier parent
Toutes (anciennes versions d'Office)	`C:\Users\<user>\AppData\Roaming\Microsoft\Office\Recent\`	Raccourcis créés par les applications Office
Toutes	`C:\Users\<user>\Desktop\`, `...\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\`, `C:\ProgramData\Microsoft\Windows\Start Menu\Programs\`	Raccourcis créés par l'utilisateur ou un installeur
7 et suivants	Dans les Jump Lists	Même format LNK, intégré sous forme de flux ou d'entrées

Les raccourcis automatiques de Recent portent le nom de la cible (report.docx.lnk), pas son chemin complet. L'ouverture ultérieure d'un autre fichier portant le même nom met à jour le même raccourci.

Ce que l'artefact prouve

Ouverture d'un fichier ou d'un dossier : l'utilisateur a ouvert la cible via le shell (Explorateur, boîtes de dialogue d'ouverture, double-clic), au moins une fois.
Où elle se trouvait : chemin complet, type de lecteur (fixe, amovible, réseau, CD-ROM), numéro de série du volume et nom de volume, ou nom du partage UNC. Cela rattache un fichier à une clé USB ou à un serveur précis.
Métadonnées de la cible à ce moment-là : taille et dates de création, modification et accès, utiles quand le fichier n'existe plus.
Machine d'origine : le TrackerDataBlock contient le nom NetBIOS de la machine et une adresse MAC tirée des identifiants d'objet.
Il ne prouve pas que le fichier a été lu, modifié ou copié, ni quelle application l'a ouvert (voir les Jump Lists pour l'application).

Champs clés

Champ	Signification
Horodatages de la cible (en-tête)	Valeurs FILETIME de création, d'accès et d'écriture de la cible, copiées dans le raccourci
Taille et attributs (en-tête)	Taille de la cible (32 bits) et attributs de fichier
LinkTargetIDList	Liste de shell items décrivant le chemin, dont les entrées de dossier avec leurs propres horodatages et, sur NTFS, leurs références MFT
LinkInfo : informations de volume	Type de lecteur, numéro de série, nom de volume, chemin local
LinkInfo : informations de partage réseau	Nom du partage (`\\serveur\partage`) et lettre de lecteur mappée pour les cibles distantes
Chaînes	Chemin relatif, répertoire de travail, arguments de ligne de commande, emplacement de l'icône
TrackerDataBlock	Identifiant de machine (nom NetBIOS, 16 octets), identifiants droid de volume et de fichier, identifiants droid de naissance
Adresse MAC	Champ « node » de l'UUID version 1 stocké comme identifiant droid de fichier

Horodatages

Horodatage	Positionné quand	Format	Pièges
Création du LNK ($SI)	Premier enregistrement du raccourci : première ouverture d'un fichier de ce nom	NTFS, UTC	Réinitialisée si le LNK a été supprimé puis recréé
Modification du LNK ($SI)	Mise à jour du raccourci : dernière ouverture d'un fichier de ce nom	NTFS, UTC	Basée sur le nom : peut concerner un autre fichier homonyme
Création / modification / accès de la cible (en-tête)	Copiés depuis la cible à l'écriture ou à la mise à jour du raccourci	FILETIME, UTC	Décrivent la cible, pas l'action de l'utilisateur ; à zéro si indisponibles
Dates de dossier dans les shell items	Copiées depuis chaque dossier à la construction de l'élément	Date/heure DOS, résolution de 2 secondes	Décrivent le dossier, pas l'accès
Date de l'UUID droid	Génération de l'identifiant d'objet NTFS	Horodatage d'UUID v1	Concerne l'identifiant d'objet, pas l'ouverture

Rétention et effacement

Les raccourcis de Recent s'accumulent jusqu'à ce que l'utilisateur ou Windows les supprime. Les limites de nombre d'entrées varient selon les sources et les versions : l'absence d'un raccourci ne prouve pas qu'un fichier n'a jamais été ouvert.
Le suivi est désactivé lorsque Start_TrackDocs vaut 0 sous HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced (paramètre « Afficher les éléments récemment ouverts ») et par certaines stratégies de groupe de confidentialité.
L'effacement de l'historique de l'Explorateur, les nettoyeurs ou une suppression manuelle font disparaître les fichiers. Les LNK supprimés se retrouvent souvent dans les entrées de la $MFT, les clichés instantanés ou par carving (signature 4C 00 00 00 suivie du CLSID Shell Link).
Les raccourcis du Bureau et du menu Démarrer persistent jusqu'à leur suppression ; ils traduisent une création par un utilisateur ou un installeur, pas une ouverture.

Collecte

Cible KAPE : LNKFilesAndJumpLists (Recent, Office Recent, Bureau, menu Démarrer, chemins XP), ou RecentFolders pour les deux seuls dossiers Recent.
Velociraptor (Windows.Triage.Targets) : LNKFilesAndJumpLists ou RecentFolders. Windows.Forensics.Lnk analyse les raccourcis en direct et signale les suspects.
Commandes natives : les fichiers ne sont pas verrouillés. Conservez les dates des fichiers LNK, qui portent le sens première/dernière ouverture :

robocopy "C:\Users\alice\AppData\Roaming\Microsoft\Windows\Recent" E:\case\alice\Recent *.lnk /COPY:DAT /DCOPY:T
Get-ChildItem "C:\Users\*\AppData\Roaming\Microsoft\Windows\Recent\*.lnk" -Force | Select-Object FullName, CreationTimeUtc, LastWriteTimeUtc

Outils d'analyse

LECmd (Eric Zimmerman, gratuit) : LECmd.exe -d E:\case --csv E:\out --all analyse récursivement tous les LNK, y compris shell items, données de suivi et adresse MAC.
liblnk / pylnk (Joachim Metz, open source) : outil lnkinfo et documentation de référence du format.
Velociraptor : Windows.Forensics.Lnk, avec filtres par expression régulière sur les arguments, noms d'hôte et préfixes MAC.
Plaso : le parseur lnk ajoute les horodatages des LNK à une super-chronologie.

Conseils d'investigation

Filtrez sur le type de lecteur « amovible » et pivotez sur le numéro de série du volume pour le rapprocher de l'historique USB et prouver quelle clé contenait un document.
Les chemins de partages réseau révèlent l'accès à des serveurs de fichiers ; combinez-les avec les ShellBags pour voir les dossiers parcourus autour.
Un nom NetBIOS ou une adresse MAC du TrackerDataBlock différents de ceux de la machine examinée montrent que le LNK ou sa cible provient d'une autre machine, cas typique des pièces jointes d'hameçonnage.
Les LNK malveillants (e-mail, ISO, ZIP) pointent souvent vers cmd.exe, powershell.exe ou mshta.exe avec de longs arguments : examinez ce champ et corrélez avec le Prefetch.
Comparez les LNK de Recent avec RecentDocs et les MRU Office : chacun comble les lacunes des autres.
Gardez en tête la logique par nom : deux fichiers invoice.pdf différents ouverts depuis deux dossiers partagent un seul raccourci dans Recent.

Fichiers de raccourci LNK

Outils