Analisando Artefatos de Shellbag do Windows

Visão Geral

Shellbags são artefatos do registro do Windows que rastreiam como os usuários interagem com pastas através do Windows Explorer, armazenando configurações de visualização como tamanho de ícone, posição da janela, ordem de classificação e modo de exibição. De uma perspectiva forense, Shellbags fornecem evidências definitivas de acesso a pastas -- mesmo pastas que não existem mais no sistema. Quando um usuário navega para uma pasta através do Windows Explorer, da caixa de diálogo Abrir/Salvar ou do Painel de Controle, uma entrada de Shellbag é criada ou atualizada na colmeia de registro do usuário. Essas entradas persistem após a exclusão da pasta, desconexão da unidade e até mesmo após reinícios do perfil do usuário, tornando-as inestimáveis para provar que um usuário navegou para diretórios específicos em unidades locais, dispositivos USB, compartilhamentos de rede ou arquivos zip.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de artefatos de shellbag do Windows
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de forense digital
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Localizações do Registro

Windows 7/8/10/11

Estrutura BagMRU

A chave BagMRU contém uma árvore hierárquica de subchaves numeradas representando a estrutura do diretório. Cada valor de subchave contém um blob binário de Item de Shell (SHITEMID) codificando a identidade da pasta:

• Raiz (BagMRU): Raiz do namespace da Área de Trabalho
• BagMRU\0: Normalmente "Meu Computador"
• BagMRU\0\0: Primeira unidade (por exemplo, C:)
• BagMRU\0\0\0: Primeira subpasta em C:

Cada Item de Shell contém:

• Tipo de item (pasta, unidade, rede, zip, painel de controle)
• Nome curto (formato 8.3)
• Nome longo (Unicode)
• Timestamps de criação/modificação
• Entrada/sequência MFT para pastas NTFS

Análise com Ferramentas EZ

SBECmd (Linha de Comando)

# Parse shellbags from a directory of registry hives
SBECmd.exe -d "C:\Evidence\Registry" --csv C:\Output --csvf shellbags.csv

# Parse from a live system (requires admin)
SBECmd.exe --live --csv C:\Output --csvf live_shellbags.csv

# Key output columns:
# AbsolutePath - Full reconstructed path
# CreatedOn - When the folder was first browsed
# ModifiedOn - When view settings were last changed
# AccessedOn - Last access timestamp
# ShellType - Type of shell item (Directory, Drive, Network, etc.)
# Value - Raw shell item data

ShellBags Explorer (GUI)

# Launch GUI tool for interactive analysis
ShellBagsExplorer.exe

# Load registry hives: File > Load Hive
# Navigate the tree structure to see folder hierarchy
# Right-click entries for detailed shell item properties

Cenários de Investigação Forense

Comprovando Navegação em Dispositivo USB

Shellbag Path: My Computer\E:\Confidential\Project_Files
ShellType: Directory (on removable volume)
CreatedOn: 2025-03-15 09:30:00 UTC

This proves the user navigated to E:\Confidential\Project_Files
via Windows Explorer, even if the USB drive is no longer connected.
The volume letter E: and directory timestamps can be correlated
with USBSTOR and MountPoints2 registry entries.

Detectando Acesso a Compartilhamento de Rede

Shellbag Path: \\FileServer01\Finance\Q4_Reports
ShellType: Network Location
AccessedOn: 2025-02-20 14:15:00 UTC

This proves the user browsed to a network share, even if
the share has been decommissioned or access revoked.

Identificando Conhecimento de Pasta Excluída

Shellbag Path: C:\Users\suspect\Documents\Exfiltration_Staging
ShellType: Directory
CreatedOn: 2025-01-10 08:00:00 UTC

Even though C:\Users\suspect\Documents\Exfiltration_Staging
no longer exists, the Shellbag entry proves the user
created and navigated to this folder.

Limitações

• Shellbags registram apenas interações em nível de pasta, não acesso a arquivos individuais

…