Jump List Parser
Kostenlos · im Browser · WebAssembly

Windows Jump-List-Parser

Dekodieren Sie AutomaticDestinations- und CustomDestinations-Artefakte — LNK-Metadaten, Zeitstempel, Hostnamen und angeheftete Elemente.

100 % clientseitig. Dateien werden lokal mit WebAssembly verarbeitet und verlassen niemals Ihren Browser.

Jump Lists öffnenWas ist eine Jump List?

Jump Lists, einen Ordner oder eine ZIP-Sicherung hier ablegen

*.automaticDestinations-ms, *.customDestinations-ms, KAPE-/Velociraptor-ZIPs oder ein ganzes Benutzerprofil — oder klicken, um Dateien auszuwählen

Dateien wählen

Das Beispiel ist synthetisch: Jump Lists eines fiktiven Einbruchs — keine echten Daten. Tipp: creds.txt auswählen und im Zeitraum „Um…“ (±5 Min.) verwenden.

So kommen Sie an Ihre Daten

In unter zwei Minuten von null zur Auswertung — nehmen Sie die erste passende Methode.
  1. Jump Lists sichern
  2. Ordner oder ZIP hier ablegen
  3. Alles bleibt in Ihrem Browser

Voraussetzung: Windows PowerShell mit „Als Administrator ausführen“ geöffnet (Rechtsklick auf Start → Terminal (Administrator) / Windows PowerShell (Administrator)). Den ganzen Block einfügen.

Alle Benutzer, aus einer Schattenkopie (empfohlen)

$ErrorActionPreference = 'Stop'
New-Item -ItemType Directory -Force C:\triage | Out-Null
$s = Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{ Volume = 'C:\' }
$v = Get-CimInstance Win32_ShadowCopy | Where-Object ID -eq $s.ShadowID
if (-not $v) { throw 'Shadow copy failed: run PowerShell as administrator' }
cmd /c mklink /d C:\triage\vss "$($v.DeviceObject)\"
Get-ChildItem C:\triage\vss\Users -Directory | Where-Object { -not ($_.Attributes -band [IO.FileAttributes]::ReparsePoint) -and (Test-Path "$($_.FullName)\AppData\Roaming\Microsoft\Windows\Recent") } | ForEach-Object {
  robocopy "$($_.FullName)\AppData\Roaming\Microsoft\Windows\Recent" "C:\triage\JumpLists\Users\$($_.Name)" *.automaticDestinations-ms *.customDestinations-ms /S /B /R:0 /W:0 /NJH /NP
}
cmd /c rmdir C:\triage\vss
$v | Remove-CimInstance
Invoke-Item C:\triage\JumpLists

Erstellt eine Volumeschattenkopie von C:, damit von explorer.exe geöffnete Dateien unversehrt kopiert werden, kopiert beide Ordner jedes Profils nach C:\triage\JumpLists\Users\<user>\, löscht dann die Schattenkopie und öffnet den Ordner.

Nur Ihr eigenes Profil, ohne Adminrechte

robocopy "$env:APPDATA\Microsoft\Windows\Recent" "C:\triage\JumpLists\Users\$env:USERNAME" *.automaticDestinations-ms *.customDestinations-ms /S /R:0 /W:0 /NJH /NP

Einfache Live-Kopie in einem normalen PowerShell-Fenster. Gut für einen schnellen Blick; eine Datei, die explorer.exe gerade schreibt, kann übersprungen werden oder leer ankommen.

→ Ziehen Sie dann den Ordner C:\triage\JumpLists auf die Ablagefläche (oder zippen Sie ihn für den Transport; ein mit Compress-Archive aus PowerShell erstelltes ZIP funktioniert ebenfalls).

Stolperfallen

  • Live-Kopien können leer (0 Byte) sein, wenn explorer.exe die Datei offen hält — Schattenkopie-Befehl, KAPE oder ein Image verwenden; der Parser markiert leere Dateien.
  • Das Lesen fremder Profile erfordert eine Eingabeaufforderung mit Administratorrechten; ohne sie erhalten Sie nur Ihr eigenes.
  • Zeitstempel sind in UTC gespeichert; Einträge veralten und Benutzer können Listen leeren — eine leere oder kurze Liste ist selbst ein Befund.

So kommen Sie an Ihre Daten

Diese Analyse speichern

Nur in diesem Browser gespeichert (IndexedDB). Dateien verlassen nie Ihr Gerät.

  • 010 Byte hochgeladen
  • 02Windows 7 – 11
  • 03Automatic- + Custom-Destinations
  • 04Über 700 bekannte AppIDs

Alles, woran sich eine Jump List erinnert

Jeder Eintrag ist ein Wegpunkt: eine Datei, ein Ordner oder eine Aufgabe, die der Benutzer geöffnet hat — mit dem Zeitpunkt des letzten Besuchs.

  • DestList-Zeitachse

    Wann jedes Element zuletzt geöffnet wurde, seine Eintragsnummer und der Anheftstatus — direkt aus dem DestList-Stream.

  • Eingebettete LNK-Metadaten

    Zielpfad, Erstellungs-, Änderungs- und Zugriffszeit, Größe, Attribute, Volume-Seriennummer, -Name und Laufwerkstyp.

  • AppID-Auflösung

    Über 700 bekannte AppIDs machen aus dem hexadezimalen Dateinamen die Anwendung, der die Liste gehört.

  • Rechner- und Tracker-Daten

    NetBIOS-Hostname und MAC-Adresse aus dem LNK-Tracker-Block — erkennen Sie Elemente, die von einem anderen Rechner geöffnet wurden.

  • Aufgaben und Argumente

    CustomDestinations-Kategorien, Aufgabenbeschreibungen und Befehlszeilenargumente, einschließlich Browser-URLs.

  • Privat per Design

    Ein Rust-Parser, kompiliert zu WebAssembly. Dateien verlassen nie den Tab — auch offline.

Von der Sicherung zur Antwort in drei Schritten

  1. 1

    Sichern

    Sichern Sie AutomaticDestinations und CustomDestinations aus jedem Benutzerprofil — live, aus einer Schattenkopie oder einem forensischen Image.

  2. 2

    Ablegen

    Ziehen Sie die Dateien auf die Seite. Die Analyse läuft lokal in WebAssembly in Sekundenbruchteilen.

  3. 3

    Untersuchen

    Nach letzter Nutzung sortieren, nach Anwendung oder Pfad filtern, jedes LNK-Feld prüfen und als JSON oder CSV exportieren.

Verwandte Tools

Artefakte, die die nächste Frage im selben Fall beantworten.

Häufige Fragen von Ermittlern

Werden meine Dateien irgendwohin hochgeladen?

Nein. Der Parser ist zu WebAssembly kompiliert und läuft in Ihrem Browser-Tab. Es gibt keinen Upload-Endpunkt — Sie können die Seite laden, die Netzwerkverbindung trennen und weiter analysieren.

AutomaticDestinations oder CustomDestinations — was ist der Unterschied?

AutomaticDestinations sind OLE-Container, die die Shell für zuletzt und häufig verwendete Elemente pflegt, mit einem DestList-Stream für Nutzungszeiten und Anheftungen. CustomDestinations schreibt die Anwendung selbst: Aufgaben, eigene Kategorien und angeheftete Elemente.

Was verrät die AppID im Dateinamen?

Das 16-stellige Hex-Präfix identifiziert die Anwendung, der die Liste gehört (z. B. ist 5f7b5f1e01b83767 der Schnellzugriff). Das Tool löst über 700 bekannte AppIDs auf; behalten Sie beim Sichern die Originalnamen bei.

Welcher Zeitstempel zeigt, wann eine Datei zuletzt geöffnet wurde?

Die DestList-Zeit „zuletzt verwendet“ eines AutomaticDestinations-Eintrags. Erstellungs-, Änderungs- und Zugriffszeit stammen aus dem eingebetteten LNK und beschreiben die Zieldatei selbst.

Tauchen gelöschte oder verschobene Dateien noch auf?

Ja. Einträge bleiben erhalten, nachdem das Ziel gelöscht, umbenannt oder ein USB-Laufwerk entfernt wurde — bis die Liste geleert wird oder der Eintrag herausfällt. Genau deshalb sind Jump Lists für Ermittlungen so wertvoll.

Verfolgen Sie die Spur

Öffnen Sie jetzt eine Jump List — sie verlässt nie Ihren Browser.

Dateien auswählen