Accès aux fichiers
RecentDocs
Fiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
- Emplacement
- NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
- Prouve
- Un utilisateur a ouvert récemment des fichiers et dossiers portant ces noms, dans cet ordre
- Horodatages
- LastWrite de la clé et des sous-clés d'extension en FILETIME, UTC, ne date que l'entrée la plus récente de chaque liste ; autres entrées non datées
- Rétention
- Entrées limitées par clé, les plus anciennes supprimées ; effacé avec les éléments récents, par GPO ou nettoyeur ; valeurs supprimées en slack et VSS
- Accès
- NTUSER.DAT par utilisateur, verrouillé tant que l'utilisateur est connecté : collecte en NTFS brut (KAPE) ou VSS ; reg query pour l'utilisateur courant
- Type
- Registre
- Windows
- XPVista / 78 / 8.11011
- Cible KAPE
- RegistryHivesUser
- Velociraptor
- Windows.Triage.Targets:RegistryHivesUser
Outils
Comparer tous les outilsPrésentation
RecentDocs est la liste des éléments « récemment utilisés » de l'utilisateur, derrière les éléments récents de l'Explorateur. Chaque fois qu'un utilisateur ouvre un fichier ou un dossier via le shell, Windows ajoute son nom à cette clé, à la fois dans une liste globale et dans une sous-clé propre à l'extension. Elle complète les fichiers .lnk du dossier Recent et conserve souvent des entrées dont le raccourci a été supprimé.
Emplacement
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
| Clé | Contenu |
|---|---|
RecentDocs (racine) | Tous les éléments récents, quel que soit leur type |
RecentDocs\.<ext> (par exemple .docx, .pdf, .zip) | Éléments récents de cette extension |
RecentDocs\Folder | Dossiers ouverts récemment |
La même structure existe de Windows XP à Windows 11.
Ce que l'artefact prouve
- L'utilisateur propriétaire du NTUSER.DAT a ouvert des éléments portant ces noms, et l'ordre de leur dernière ouverture.
- L'heure d'ouverture de l'élément le plus récent de chaque clé (LastWrite de la clé, voir plus bas).
- Les sous-clés d'extension montrent vite quels types de fichiers l'utilisateur a manipulés (archives, scripts, images disque).
- Il ne conserve pas le chemin complet ; retrouvez-le dans le fichier LNK ou la Jump List correspondants.
Champs clés
| Élément | Signification |
|---|---|
Valeurs numérotées (0, 1, 2…) | Données binaires : nom de l'élément en UTF-16, puis nom du raccourci correspondant et un shell item |
MRUListEx | Liste des numéros de valeurs, de la plus récemment ouverte à la plus ancienne |
Horodatages
| Horodatage | Positionné quand | Format | Pièges |
|---|---|---|---|
| LastWrite de la clé | Ajout d'un élément ou remontée en tête de la liste de cette clé | FILETIME, UTC | Ne s'applique qu'à la première entrée de MRUListEx de la clé |
| LastWrite d'une sous-clé d'extension | Idem, pour cette extension | FILETIME, UTC | Donne un élément daté de plus par extension : le .pdf le plus récent, le .zip le plus récent… |
Les autres entrées n'ont pas d'heure propre ; datez-les avec les fichiers LNK, les Jump Lists ou le système de fichiers.
Rétention et effacement
- Chaque clé conserve un nombre limité d'entrées ; les plus anciennes disparaissent à mesure que de nouveaux éléments sont ouverts.
- Vider les « éléments récents » dans l'Explorateur, la stratégie de groupe « Ne pas conserver l'historique des documents récemment ouverts » ou un outil de nettoyage suppriment ou arrêtent la liste.
- Les valeurs supprimées peuvent survivre dans l'espace libre de la ruche et dans les versions de NTUSER.DAT des clichés instantanés.
Collecte
- Cible KAPE :
RegistryHivesUser - Velociraptor (
Windows.Triage.Targets) :RegistryHivesUser;Windows.Registry.RecentDocsl'analyse en direct. - Commandes natives (utilisateur courant) :
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs" /s
Outils d'analyse
- Registry Explorer / RECmd (Eric Zimmerman) : décode les noms et l'ordre
MRUListEx. - RegRipper : plugin
recentdocs. - Velociraptor :
Windows.Registry.RecentDocs.
Conseils d'investigation
- Commencez par les sous-clés d'extension : une entrée
.7z,.rarou.zipouverte juste avant le branchement d'une clé USB est un schéma d'exfiltration courant. - Associez chaque nom à son fichier LNK dans
Recentpour obtenir le chemin complet, le numéro de série du volume et les horodatages. - Utilisez la sous-clé
Folderavec les ShellBags pour reconstituer le chemin de navigation. - Les documents Office apparaissent aussi dans la liste propre à l'application (Office MRU), qui porte un horodatage par entrée.
Artefacts liés
- Fichiers de raccourci LNKFiche LNK : raccourcis du dossier Recent, première et dernière ouverture, horodatages de la cible, numéro de série, partage réseau et adresse MAC.
- Jump ListsFiche Jump Lists : AutomaticDestinations et CustomDestinations, AppID, entrées DestList avec dernier accès, nombre d'accès, épinglage, et JLECmd.
- OpenSaveMRU et LastVisitedMRUFiche OpenSavePidlMRU et LastVisitedPidlMRU : clés ComDlg32 par version, ce qu'enregistre la boîte Ouvrir/Enregistrer, horodatages, pistes d'exfiltration.
- Office MRU et Trust RecordsFiche Office MRU et TrustRecords : clés File MRU et User MRU par version d'Office, horodatage [T…], et repérage des documents dont les macros ont été activées.
- ShellBagsFiche ShellBags : clés BagMRU et Bags dans UsrClass.dat et NTUSER.DAT, shell items, horodatages des dossiers, dossiers supprimés et USB, analyse avec SBECmd.
Termes du glossaire
- NTUSER.DATLa ruche du Registre propre à chaque utilisateur, stockée dans son profil et chargée comme HKEY_CURRENT_USER, riche en traces d'activité.
- LastWrite d'une clé de RegistreL'unique FILETIME stocké dans chaque clé de Registre, qui indique en UTC la dernière modification de la clé ou de l'une de ses valeurs.
- Élément shell (ShellItem / PIDL)Structure binaire identifiant un élément de l'espace de noms du Shell Windows, chaînée en listes dans les ShellBags, LNK et Jump Lists.