Shellbags
O que é Shellbags?
ShellbagsChaves de registro que armazenam as preferencias de visualizacao de pastas do Explorer por usuario e servem como prova forense de que um usuario abriu uma pasta especifica, inclusive em midias removiveis ou caminhos de rede.
Shellbags sao subchaves em HKCU\Software\Microsoft\Windows\Shell\Bags, BagMRU e na colmeia UsrClass.dat correspondente que registram posicao da janela, modo de visualizacao e ordenacao de cada pasta aberta pelo usuario no Explorer. Cada entrada contem carimbos de tempo similares aos da MFT e uma lista de ShellItem ID descrevendo o caminho, incluindo volumes criptografados, arquivos ZIP, compartilhamentos de rede e midias removiveis que podem ja nao estar conectadas. Investigadores usam shellbags para provar que um usuario abriu um diretorio, demonstrar conhecimento do local de um arquivo e reconstruir estruturas de pastas de USBs ja apagados. Ferramentas: ShellBagsExplorer (Eric Zimmerman), plugins do RegRipper e modulos KAPE.
● Exemplos
- 01
Mostrar que um usuario navegou em uma pasta exfil_2024 em USB externo mesmo depois de destruido o dispositivo.
- 02
Provar acesso ao compartilhamento de rede \\fileserver\HR$\Salaries em uma investigacao de ameaca interna.
● Perguntas frequentes
O que é Shellbags?
Chaves de registro que armazenam as preferencias de visualizacao de pastas do Explorer por usuario e servem como prova forense de que um usuario abriu uma pasta especifica, inclusive em midias removiveis ou caminhos de rede. Pertence à categoria Forense e resposta da cibersegurança.
O que significa Shellbags?
Chaves de registro que armazenam as preferencias de visualizacao de pastas do Explorer por usuario e servem como prova forense de que um usuario abriu uma pasta especifica, inclusive em midias removiveis ou caminhos de rede.
Como se defender contra Shellbags?
As defesas contra Shellbags costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
Quais são outros nomes para Shellbags?
Nomes alternativos comuns: Shell Bags, BagMRU.