Shellbags — Traces de navigation de dossiers

Définition

Les Shellbags sont des entrées de registre où Windows stocke les préférences d'affichage des dossiers parcourus dans l'Explorateur. Elles prouvent qu'un utilisateur a ouvert un dossier — y compris sur supports amovibles ou partages réseau désormais déconnectés.

Emplacement & parsing

# Ruches concernées
NTUSER.DAT  -> Software\Microsoft\Windows\Shell\Bags
UsrClass.dat -> Local Settings\...\Shell\Bags

# Parsing (Eric Zimmerman)
SBECmd.exe -d C:\Users\bob --csv out/

Valeur probante

Démontrent l'accès à des dossiers même supprimés depuis, révèlent des chemins de clés USB et de partages réseau, et fournissent des horodatages d'interaction utilisateur précieux pour la timeline.