Shellbags : la mémoire des dossiers ouverts

Un artefact discret du registre qui retient les dossiers parcourus dans l'Explorateur — y compris ceux qui n'existent plus.

Ce que c’est

Pour retrouver la taille, la position et la vue d’une fenêtre d’Explorateur, Windows enregistre dans le registre de l’utilisateur chaque dossier qu’il a ouvert : ce sont les shellbags. Officiellement, une question de confort. En investigation, une trace de navigation précieuse.

Ce qu’ils permettent de prouver

qu’un utilisateur a ouvert un dossier, même s’il affirme le contraire ;
qu’un dossier a existé, même supprimé depuis — y compris sur une clé USB ou un partage réseau aujourd’hui débranché ;
le cheminement d’un intrus dans l’arborescence, dossier par dossier ;
des horodatages propres au dossier, au moment de l’interaction.

Les outils de nettoyage les oublient souvent : un attaquant pense à vider les journaux d’événements bien plus volontiers que le registre.

Où ils sont

Dans les ruches de registre de chaque utilisateur :

Ruche	Clés
`NTUSER.DAT`	`Software\Microsoft\Windows\Shell\BagMRU` et `\Bags`
`UsrClass.dat` (`%LOCALAPPDATA%\Microsoft\Windows\`)	`Local Settings\Software\Microsoft\Windows\Shell\BagMRU` et `\Bags`

Sur les versions récentes de Windows, l’essentiel se trouve dans UsrClass.dat.

Comment les lire

Les valeurs sont binaires et imbriquées : on ne les lit pas à la main.

ShellBags Explorer (interface) ou SBECmd (ligne de commande), des outils d’Eric Zimmerman, reconstruisent l’arborescence et exportent en CSV.

# Ruches collectées au préalable, sortie CSV pour Timeline Explorer
SBECmd.exe -d "C:\Cas\Collecte\Users\jdupont" --csv C:\Cas\Analyse

Les limites

Ils ne concernent que la navigation dans l’Explorateur (explorer.exe) : utile quand l’intrus disposait d’un bureau (RDP, VNC, accès physique), muet pour une activité en ligne de commande.
Interagir n’est pas forcément naviguer : certaines entrées naissent d’un simple affichage dans une boîte de dialogue. Croiser avec d’autres artefacts (LNK, Jump Lists, journaux) avant de conclure.