LNK Files — Analyse des fichiers raccourcis

Intérêt forensic

Les fichiers .lnk (raccourcis), créés automatiquement quand un utilisateur ouvre un fichier, conservent le chemin cible, les timestamps, la taille, le numéro de série du volume et parfois l'adresse MAC — preuves d'accès à des fichiers même supprimés/sur média externe.

Emplacements & parsing

# Raccourcis récents
%APPDATA%\Microsoft\Windows\Recent\
%APPDATA%\...\Office\Recent\

# Parsing
LECmd.exe -f fichier.lnk
LECmd.exe -d C:\Users\bob\...\Recent --csv out/

Aussi : malware

Les .lnk sont aussi un vecteur d'infection courant (raccourci pointant vers powershell.exe avec arguments encodés). Examiner le champ arguments des .lnk reçus par mail/USB.