ردپا ها در فارنزیک
این قسمت: شل بگ
شل‌بگ (Shellbag) ساختاری در سیستم‌عامل ویندوز است که برای ذخیره تنظیمات نمایش پوشه‌ها در Windows Explorer به کار می‌رود. هر زمان کاربر یک پوشه را باز می‌کند یا نمای آن را تغییر می‌دهد (مثل حالت آیکون، اندازه پنجره یا موقعیت آن)، این تنظیمات در رجیستری ویندوز به‌صورت کلیدهای Shellbag ذخیره می‌شود تا در بازدید بعدی همان پوشه، تنظیمات قبلی حفظ گردد.
اطلاعات شل‌بگ در فایل‌های رجیستری کاربران نگهداری می‌شود، از جمله:
HKCU\Software\Microsoft\Windows\Shell\Bags
HKCU\Software\Microsoft\Windows\Shell\BagMRU
همچنین این داده‌ها به‌صورت فیزیکی در فایل‌های NTUSER.DAT و USRCLASS.DAT مربوط به هر حساب کاربری ذخیره می‌شوند.
از دید دیجیتال فارنزیک (Digital Forensics)، شل‌بگ‌ها ارزش شواهدی بالایی دارند زیرا می‌توانند سوابق پوشه‌هایی را که کاربر باز کرده- اگر پوشه بعداً حذف شده باشد-نمایش دهند. آن‌ها شامل مسیر کامل فولدر، شناسه دستگاه (Device ID)، و زمان آخرین دسترسی هستند. این ویژگی‌ها کمک می‌کند تا فعالیت‌های کاربر، استفاده از درایوهای خارجی (مثل USB)، یا مرور پوشه‌های شبکه‌ای بازسازی شود.
ابزارهایی مانند ShellBagsView، RegRipper Shellbags plugin و ShellBags Explorer برای مشاهده و تحلیل این داده‌ها استفاده می‌شوند. در تحلیل‌های قضایی، شل‌بگ‌ها معمولاً به‌منظور تعیین مسیرهایی که کاربر مشاهده کرده یا حذف‌شان کرده به کار می‌روند. به همین دلیل، دستکاری یا حذف آن‌ها (یک اقدام ضدفارنزیکی) می‌تواند نشانه‌ای از تلاش برای پنهان‌سازی فعالیت‌ها باشد.
www.haumoun.com
www.roozbeh.academy
مثال عملی در فارنزیک:
فرض کنید مظنونی ادعا کند USB را وصل نکرده؛ شل‌بگ می‌تواند Device ID و مسیر F:\MalwareFolder را نشان دهد، حتی اگر درایو جدا شده باشد.
در پرونده‌های قضایی (مثل child exploitation یا data theft)، شل‌بگ‌ها برای اثبات “knowledge” کاربر (یعنی کاربر پوشه را دیده) استفاده می‌شوند.
این قسمت: شل بگ
شل‌بگ (Shellbag) ساختاری در سیستم‌عامل ویندوز است که برای ذخیره تنظیمات نمایش پوشه‌ها در Windows Explorer به کار می‌رود. هر زمان کاربر یک پوشه را باز می‌کند یا نمای آن را تغییر می‌دهد (مثل حالت آیکون، اندازه پنجره یا موقعیت آن)، این تنظیمات در رجیستری ویندوز به‌صورت کلیدهای Shellbag ذخیره می‌شود تا در بازدید بعدی همان پوشه، تنظیمات قبلی حفظ گردد.
اطلاعات شل‌بگ در فایل‌های رجیستری کاربران نگهداری می‌شود، از جمله:
HKCU\Software\Microsoft\Windows\Shell\Bags
HKCU\Software\Microsoft\Windows\Shell\BagMRU
همچنین این داده‌ها به‌صورت فیزیکی در فایل‌های NTUSER.DAT و USRCLASS.DAT مربوط به هر حساب کاربری ذخیره می‌شوند.
از دید دیجیتال فارنزیک (Digital Forensics)، شل‌بگ‌ها ارزش شواهدی بالایی دارند زیرا می‌توانند سوابق پوشه‌هایی را که کاربر باز کرده- اگر پوشه بعداً حذف شده باشد-نمایش دهند. آن‌ها شامل مسیر کامل فولدر، شناسه دستگاه (Device ID)، و زمان آخرین دسترسی هستند. این ویژگی‌ها کمک می‌کند تا فعالیت‌های کاربر، استفاده از درایوهای خارجی (مثل USB)، یا مرور پوشه‌های شبکه‌ای بازسازی شود.
ابزارهایی مانند ShellBagsView، RegRipper Shellbags plugin و ShellBags Explorer برای مشاهده و تحلیل این داده‌ها استفاده می‌شوند. در تحلیل‌های قضایی، شل‌بگ‌ها معمولاً به‌منظور تعیین مسیرهایی که کاربر مشاهده کرده یا حذف‌شان کرده به کار می‌روند. به همین دلیل، دستکاری یا حذف آن‌ها (یک اقدام ضدفارنزیکی) می‌تواند نشانه‌ای از تلاش برای پنهان‌سازی فعالیت‌ها باشد.
www.haumoun.com
www.roozbeh.academy
مثال عملی در فارنزیک:
فرض کنید مظنونی ادعا کند USB را وصل نکرده؛ شل‌بگ می‌تواند Device ID و مسیر F:\MalwareFolder را نشان دهد، حتی اگر درایو جدا شده باشد.
در پرونده‌های قضایی (مثل child exploitation یا data theft)، شل‌بگ‌ها برای اثبات “knowledge” کاربر (یعنی کاربر پوشه را دیده) استفاده می‌شوند.
Comments
Be the first to add a comment
Log in to comment