Thumbcache : fiche forensique

Présentation

Pour afficher rapidement les dossiers en mode miniatures, l'Explorateur Windows met en cache un petit aperçu de chaque image, vidéo, document ou autre fichier prévisualisable dans des bases propres à chaque utilisateur. Depuis Windows Vista, ce sont les fichiers thumbcache_*.db, un par taille de miniature, plus un index. Le cache est indexé par un identifiant de type hash, et non par le chemin du fichier, et il n'est pas purgé lorsque le fichier source est supprimé. C'est donc l'un des rares endroits où l'on peut retrouver le contenu visuel de fichiers qui n'existent plus.

Emplacement

Version de Windows	Chemin	Fichiers
XP	`Thumbs.db` caché dans chaque dossier affiché en miniatures	Un fichier composé OLE par dossier
Vista / 7	`C:\Users\<user>\AppData\Local\Microsoft\Windows\Explorer\`	`thumbcache_32.db`, `_96`, `_256`, `_1024`, `_sr`, `thumbcache_idx.db`
8 / 8.1	même dossier	Ajoute `_16`, `_48`, `_wide`, `_exif` ; 8.1 ajoute aussi `_1600` et `_wide_alternate`
10 / 11	même dossier	`_16`, `_32`, `_48`, `_96`, `_256`, `_768`, `_1280`, `_1920`, `_2560`, `_sr`, `_wide`, `_exif`, `_wide_alternate`, `_custom_stream`, `thumbcache_idx.db`
Vista et suivants	`Thumbs.db` dans les dossiers distants	Toujours créé quand un dossier est parcouru via un chemin UNC en mode miniatures

Le même dossier Explorer contient aussi les fichiers iconcache_*.db (cache d'icônes, même format de conteneur), tandis que C:\Users\<user>\AppData\Local\IconCache.db est un ancien cache d'icônes distinct.

Ce que l'artefact prouve

Un fichier a existé dans un emplacement accessible à l'utilisateur et a été rendu en miniature : disque local, clé USB, partage réseau.
Le contenu visuel d'images, d'images de vidéos et de certains documents, même quand les originaux ont été supprimés ou se trouvaient sur un support retiré.
Le contexte utilisateur : le cache se trouve dans un profil, il est donc attribuable à ce compte.
Il ne prouve pas que l'utilisateur a ouvert le fichier, ni même regardé cette miniature : l'Explorateur, les boîtes de dialogue de sélection et certaines applications génèrent des miniatures pour tout le contenu d'un dossier.
Il ne donne pas à lui seul le nom ni le chemin du fichier : il faut pour cela le rapprocher de l'index Windows Search.

Champs clés

Champ	Signification
Version du format (en-tête)	20 Vista, 21 Win7, 30 Win8, 31 Win8.1, 32 Win10/11
Signature d'entrée	`CMMM` marque chaque entrée du cache
Hash d'entrée / identifiant de cache	Identifiant de 8 octets de la miniature ; à sens unique, impossible d'en déduire un chemin
Chaîne d'identifiant	Chaîne UTF-16 de l'identifiant de cache servant de nom d'entrée
Taille et données	Image de la miniature (en général JPEG, PNG ou BMP)
Sommes de contrôle	Valeurs CRC-64 des données et de l'en-tête, utilisées par Windows pour valider les entrées
Entrées de `thumbcache_idx.db`	Relient les identifiants de cache aux entrées de chaque base par taille

Horodatages

Horodatage	Positionné quand	Format	Pièges
Date par entrée	Aucune : à partir de Windows 7, les entrées du cache et de l'index ne contiennent pas d'horodatage	—	Ne déduisez pas la date de création d'une miniature de sa seule position
Modification du fichier de base ($SI)	Dernière écriture dans ce `thumbcache_*.db`	NTFS, UTC	Concerne toute la base, pas une miniature
Propriétés de l'index Search (après rapprochement)	Dates du fichier relevées lors de son indexation	FILETIME, UTC	Proviennent de Windows Search, pas du cache

Rétention et effacement

Les entrées ne sont pas supprimées avec le fichier source ; elles restent jusqu'à la reconstruction, l'effacement ou l'écrasement du cache.
Le Nettoyage de disque (catégorie « Miniatures »), les nettoyeurs et la suppression manuelle des thumbcache_*.db vident le cache. Windows peut aussi le reconstruire de lui-même.
Des entrées anciennes ou invalidées peuvent subsister dans l'espace inutilisé de la base ; le carving des fichiers et de l'espace non alloué sur les en-têtes d'image permet d'en récupérer davantage.
La génération de miniatures peut être désactivée (« Toujours afficher des icônes, jamais des miniatures ») : un cache vide n'est pas en soi de l'anti-forensique.

Collecte

Cible KAPE : ThumbCache (tous les thumbcache_*.db de chaque profil). IconCacheDB ne collecte que l'ancien IconCache.db ; aucune cible dédiée ne couvre iconcache_*.db ni les anciens Thumbs.db.
Velociraptor (Windows.Triage.Targets) : ThumbCache.
Commandes natives : l'Explorateur garde les fichiers ouverts pour l'utilisateur connecté ; copiez-les depuis un cliché instantané ou par une méthode de copie brute :

esentutl.exe /y "C:\Users\alice\AppData\Local\Microsoft\Windows\Explorer\thumbcache_256.db" /vss /d E:\case\alice\thumbcache_256.db
dir /a /s C:\Thumbs.db

Collectez l'index Windows Search en même temps : sans lui, les miniatures ne peuvent pas être rattachées à des noms de fichiers.

Outils d'analyse

Thumbcache Viewer (gratuit, open source) : extrait les miniatures des thumbcache_*.db et iconcache_*.db de Vista à Windows 11, avec rapports HTML/CSV. Il peut charger Windows.edb (ESE) ou l'index SQLite de Windows 11 pour relier les identifiants de cache aux chemins ; la version en ligne de commande traite des dossiers entiers.
Thumbs Viewer (même auteur, gratuit) : analyse les anciens fichiers Thumbs.db.
libwtcdb (Joachim Metz, open source) : bibliothèque et documentation du format des bases thumbcache.

Conseils d'investigation

Rapprochez les identifiants de cache de la propriété System.ThumbnailCacheId de l'index Windows Search pour retrouver le chemin, le nom et les dates d'origine de chaque miniature.
Des miniatures d'images absentes partout ailleurs sur le disque désignent des fichiers supprimés ou des supports amovibles ; corrélez avec les ShellBags, les fichiers LNK et l'historique USB.
Cherchez des versions antérieures des bases thumbcache dans la Corbeille et les clichés instantanés.
Recherchez des Thumbs.db sur les serveurs de fichiers : ils révèlent les dossiers distants consultés en mode miniatures et peuvent contenir des images supprimées du partage.
Restez prudent dans le rapport : une miniature montre qu'un fichier était présent et a été rendu, pas que l'utilisateur l'a regardé ou ouvert.

Thumbcache

Outils