Analisando Artefatos de Arquivos LNK e Jump Lists

Visão Geral

Arquivos LNK (atalhos) e Jump Lists do Windows são artefatos forenses críticos que fornecem evidências de acesso a arquivos, execução de programas e comportamento do usuário. Arquivos LNK são criados automaticamente quando um usuário abre um arquivo através do Windows Explorer ou da caixa de diálogo Abrir/Salvar, armazenando metadados sobre o arquivo de destino, incluindo seu caminho original, carimbos de data/hora, número de série do volume, nome NetBIOS e endereço MAC do sistema host. Jump Lists, introduzidas no Windows 7, expandem isso mantendo listas por aplicativo de arquivos acessados recentemente e com frequência. Esses artefatos persistem mesmo após a exclusão dos arquivos de destino, tornando-os inestimáveis para estabelecer que um usuário acessou arquivos específicos em horários específicos.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de artefatos de arquivos lnk e jump list
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• LECmd (Eric Zimmerman) para análise de arquivos LNK
• JLECmd (Eric Zimmerman) para análise de Jump List
• Python 3.8+ com bibliotecas pylnk3 ou LnkParse3
• Imagem forense ou coleta de triagem do sistema Windows
• Timeline Explorer para análise de CSV

Locais de Arquivos LNK

Estrutura de Arquivos LNK

Cabeçalho Shell Link (76 bytes)

Campos Forenses Chave em Arquivos LNK

• Carimbos de data/hora do arquivo de destino: tempos de criação, acesso e modificação do arquivo referenciado
• Informações do volume: número de série, tipo de unidade, rótulo do volume
• Informações de compartilhamento de rede: caminho UNC, nome do compartilhamento
• Identificadores de máquina: nome NetBIOS, endereço MAC (do TrackerDataBlock)
• Rastreamento de Links Distribuídos: ID da máquina e GUID do objeto

Análise com Ferramentas EZ

LECmd - Analisador de Arquivos LNK

# Parse all LNK files in Recent folder
LECmd.exe -d "C:\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent" --csv C:\Output --csvf lnk_analysis.csv

# Parse a single LNK file with full details
LECmd.exe -f "C:\Evidence\Users\suspect\Desktop\Confidential.docx.lnk" --json C:\Output

# Parse LNK files with additional detail levels
LECmd.exe -d "C:\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent" --csv C:\Output --csvf lnk_all.csv --all

JLECmd - Analisador de Jump List

# Parse Automatic Jump Lists
JLECmd.exe -d "C:\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations" --csv C:\Output --csvf jumplists_auto.csv

# Parse Custom Jump Lists
JLECmd.exe -d "C:\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations" --csv C:\Output --csvf jumplists_custom.csv

# Parse all jump lists with detailed output
JLECmd.exe -d "C:\Evidence\Users\suspect\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations" --csv C:\Output --csvf jumplists_auto.csv --ld

Estrutura de Jump List

Destinos Automáticos (automaticDestinations-ms)

Estes são arquivos OLE Compound (Structured Storage) identificados pelo hash do AppID no nome do arquivo:

…