06 · Activité utilisateur
Activité utilisateur : ShellBags, fichiers LNK et Jump Lists
Prouver quels fichiers et dossiers un utilisateur Windows a ouverts, et quand : ShellBags, LNK, Jump Lists, clés MRU, Trust Records Office et Timeline.
Domaine 06
Activité utilisateur
Savoir qu'un fichier existait ne prouve pas que quelqu'un l'a ouvert. Ce domaine couvre les ShellBags, les fichiers LNK, les Jump Lists, les listes MRU, les Trust Records d'Office, la Timeline Windows et les caches de miniatures, et comment les corréler en un récit « qui a ouvert quoi » rattaché à un compte.
Sources clés
- ShellBags
- LNK
- Jump Lists
Guides de ce domaine
06 · Activité utilisateur
Forensique navigateur sous Windows : Chrome, Edge, Firefox
Analyser Chrome, Edge et Firefox sous Windows : History, téléchargements, cookies, sessions, extensions, horodatages WebKit et PRTime, WAL et suppressions.
06 · Activité utilisateur
Index Windows Search : analyse de Windows.edb et Windows.db
Exploiter l'index Windows Search : chemins, dates, extraits de contenu, e-mails Outlook et traces de fichiers supprimés. Windows.edb, Windows.db et outils.
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- ShellBagsFiche ShellBags : clés BagMRU et Bags dans UsrClass.dat et NTUSER.DAT, shell items, horodatages des dossiers, dossiers supprimés et USB, analyse avec SBECmd.
- Fichiers de raccourci LNKFiche LNK : raccourcis du dossier Recent, première et dernière ouverture, horodatages de la cible, numéro de série, partage réseau et adresse MAC.
- Jump ListsFiche Jump Lists : AutomaticDestinations et CustomDestinations, AppID, entrées DestList avec dernier accès, nombre d'accès, épinglage, et JLECmd.
- RecentDocsFiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
- OpenSaveMRU et LastVisitedMRUFiche OpenSavePidlMRU et LastVisitedPidlMRU : clés ComDlg32 par version, ce qu'enregistre la boîte Ouvrir/Enregistrer, horodatages, pistes d'exfiltration.
- Office MRU et Trust RecordsFiche Office MRU et TrustRecords : clés File MRU et User MRU par version d'Office, horodatage [T…], et repérage des documents dont les macros ont été activées.
- Windows Timeline (ActivitiesCache.db)Fiche Windows Timeline : ActivitiesCache.db et WAL, tables Activity, valeurs ActivityType, durée au premier plan, presse-papiers, expiration à 30 jours.
- ThumbcacheFiche Thumbcache : fichiers thumbcache_*.db par version, identifiants de cache, lien avec l'index Search, Thumbs.db et miniatures de fichiers supprimés.
- Artefacts des navigateurs (Chrome, Edge, Firefox)Fiche navigateurs : fichiers de profil Chromium et Firefox, tables History et places.sqlite, horodatages WebKit et PRTime, téléchargements, cookies, cache.
- Fichiers de données Outlook (PST et OST)Fiche Outlook PST/OST : emplacements des fichiers, messages et éléments supprimés, cache Content.Outlook, clés de profil, nouvel Outlook et analyse.
- Notepad TabState (Windows 11)Fiche Notepad TabState : fichiers .bin des onglets du Bloc-notes Windows 11, texte jamais enregistré, chemins des fichiers, hashs, WindowState et analyse.
- Windows Recall (instantanés des PC Copilot+)Fiche Windows Recall : magasin CoreAIPlatform, ukg.db et ImageStore, texte OCR et titres de fenêtres, chiffrement VBS, activation volontaire et limites.
- Fichiers du spouleur d'impression (.SPL et .SHD)Fiche spouleur d'impression : fichiers .SPL et .SHD de spool\PRINTERS, récupération EMF, événement 307 PrintService, pilotes et traces PrintNightmare.
- Index Windows SearchFiche index Windows Search : Windows.edb (ESE) et Windows.db SQLite de Windows 11, chemins, dates et contenu indexés, enregistrements supprimés, esentutl.
- Historique du presse-papiersFiche presse-papiers : ce que Windows 10/11 garde en mémoire, éléments épinglés sur disque, texte du presse-papiers cloud dans ActivitiesCache.db et registre.
- Sticky Notes (plum.sqlite et StickyNotes.snt)Fiche Sticky Notes : table Note de plum.sqlite et horodatages en ticks .NET sous Windows 10/11, ancien StickyNotes.snt, récupération via le WAL, collecte.
- Base des notifications (wpndatabase.db)Fiche base des notifications Windows : tables de wpndatabase.db, Payload XML des toasts, ArrivalTime et ExpiryTime en FILETIME, récupération WAL, appdb.dat.
- Messageries de bureau (Slack, Signal, WhatsApp…)Fiche messageries de bureau : où Slack, Signal, WhatsApp, Telegram et Discord stockent leurs données sous Windows, chiffrement, horodatages et exports.
- Microsoft Teams (client classique et nouveau client)Fiche Microsoft Teams : dossiers de l'ancien et du nouveau client, messages et appels en IndexedDB LevelDB, journaux, exports Purview ou Graph comme référence.
- Client de synchronisation OneDriveFiche OneDrive : clés de registre du compte, métadonnées SyncEngineDatabase.db et <CID>.dat, journaux ODL, SafeDelete.db, fichiers à la demande et analyse.
- CapabilityAccessManager (caméra, micro, position)Fiche CapabilityAccessManager : clés ConsentStore, LastUsedTimeStart et Stop de la webcam et du micro par application, base SQLite de Windows 11.