IT-kriminalteknik – Windows

Forensisk analyse af ShellBags – rekonstruktion af mappeadgang og brugeraktiviteter

ShellBags hører til blandt de særligt værdifulde artefakter i en Windows-forensisk undersøgelse. De opstår ved brug af Windows Stifinder og indeholder oplysninger om mapper, der er blevet åbnet af en bruger. Selv hvis mapperne senere er blevet slettet eller datamedierne fjernet, kan ShellBag-poster under visse omstændigheder stadig være til stede og give vigtige oplysninger om tidligere brugeraktiviteter.

Uforpligtende forespørgsel

I forbindelse med en professionel IT-forensisk undersøgelse vurderes ShellBags aldrig isoleret. Først den samlede analyse sammen med andre artefakter såsom Windows-registreringsdatabasen, LNK-filer, jump-lister, Master File Table (MFT) eller USN-journalen muliggør en pålidelig teknisk rekonstruktion af hændelserne.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Vi analyserer ShellBag-poster, rekonstruerer adgang til mapper og vurderer de indhentede oplysninger i sammenhæng med andre Windows-artefakter. På den måde kan brugeraktiviteter ofte dateres og dokumenteres på en overskuelig måde.

Typiske anvendelsesområder

•Gendannelse af åbne mapper
•Undersøgelse af eksterne datamedier
•Datatyveri
•Beskyldninger om manipulation
•Håndtering af sikkerhedshændelser
•Arbejdsretlige sager
•Retsmedicinske udtalelser

Sådan foregår en retsmedicinsk undersøgelse af en ShellBag

Efter oprettelsen af et forensisk image analyseres de relevante registreringsdatabaseområder, hvor Windows gemmer ShellBag-oplysninger. Derefter sammenholdes resultaterne med andre digitale spor og dokumenteres fuldstændigt for at muliggøre en objektiv teknisk vurdering.

Hvorfor er ShellBags så vigtige?

ShellBags giver ofte oplysninger om, hvilke mapper en bruger har åbnet eller gennemsøgt. Dermed kan de yde et vigtigt bidrag til rekonstruktionen af brugeraktiviteter. Som det er tilfældet med alle retsmedicinske artefakter, får de dog først deres betydning gennem en samlet analyse af alle relevante digitale spor.

Ofte stillede spørgsmål

Hvad er ShellBags?+
Registry-artefakter, der indeholder oplysninger om åbne mapper i Windows Stifinder.
Undersøges det oprindelige system?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Kan ShellBags også finde slettede mapper?+
De kan give oplysninger om mapper, der tidligere er blevet åbnet. Den tekniske vurdering foretages altid i den samlede sammenhæng.
Er det nok med ShellBags alene til en ekspertvurdering?+
Nej. De analyseres altid sammen med andre Windows-artefakter.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af ShellBags eller andre Windows-artefakter? LanCologne hjælper dig med at sikre digitale bevismidler på en retligt holdbar måde samt med at foretage en objektiv analyse af komplekse Windows-systemer.

Kontakt os nu