Blog

Notizen zur Forensik von Windows-Jump-Lists.

• Jump-List-AppIDs: Was sie sind und wie man eine auflöst

  Die AppID ist der Dateiname der Jump List, und sie ist ein Hash, kein Name. Wie der CRC-64 abgeleitet wird, warum man per Nachschlagetabelle statt per Berechnung auflöst, und was eine unbekannte AppID in einer Ermittlung wert ist.

  2026-06-15

• Jump Lists aus Angreifersicht: Aufklärung, Spoofing, Bereinigung

  Was ein Angreifer wirklich mit Jump Lists macht. Sie für die Zielauswahl lesen, irreführende Einträge platzieren, die Grenzen ihres Einsatzes für Persistenz, und was jeder Schritt für den Verteidiger hinterlässt.

  2026-06-15

• Eine Jump-List-Zeitleiste rekonstruieren, wenn jemand sie verschleiern wollte

  Wie man aus der MRU-Reihenfolge der DestList eine belastbare Zeitleiste rekonstruiert und gelöschte Einträge, gefälschte Zeitstempel und eine geleerte Jump List als das erkennt, was sie sind.

  2026-06-15

• Jump Lists vs ShellBags vs Prefetch: Welches Artefakt beantwortet was

  Drei verschiedene Fragen, drei verschiedene Artefakte. Der Leitfaden eines praktizierenden Analysten dazu, was Jump Lists, ShellBags, Prefetch und Recent-LNK-Dateien jeweils belegen, wo sie sich überschneiden und wo jedes blind ist.

  2026-06-15

• AutomaticDestinations in Python parsen, auf die harte Tour

  Die OLE-Verbunddatei öffnen, den DestList-Stream durchlaufen, die eingebetteten LNKs dekodieren und FILETIME umrechnen, mit den Versionsabweichungs- und Sperrfallen, die naive Skripte zerbrechen.

  2026-06-15

• Das Dateiformat AutomaticDestinations-ms erklärt

  Eine Referenz auf Byte-Ebene für das Dateiformat automaticDestinations-ms: OLE-Compound-File-Container, nummerierte LNK-Streams und der DestList-Stream.

  2026-05-25

• Wie man Windows Jump Lists leert oder löscht

  Drei Möglichkeiten, Windows Jump Lists unter Windows 10 und 11 zu leeren, zu löschen oder zu deaktivieren, und was jede Methode forensisch tatsächlich hinterlässt.

  2026-05-25

• Das Dateiformat CustomDestinations-ms erklärt

  Eine technische Referenz für das Format customDestinations-ms: Wie Anwendungen es über ICustomDestinationList aufbauen und wie man seine verketteten LNK-Nutzdaten parst.

  2026-05-25

• Jump-List-Forensik: Eine praktische DFIR-Anleitung

  Ein reproduzierbarer DFIR-Workflow für Jump Lists: Zielpfade, Zugriffszeitstempel, ursprüngliche Hostnamen, AppID-zu-App-Zuordnung und berichtstaugliche Zitate.

  2026-05-25

• Jump-List-Parser-Tools im Vergleich (2026)

  Ein DFIR-Praktikervergleich von JLECmd, JumpListExplorer, Jumplist-Browser und einem In-Browser-Jump-List-Parser.

  2026-05-25

• Was ist eine Windows Jump List? Ein Leitfaden für Einsteiger

  Eine Windows Jump List ist eine Liste pro Anwendung mit kürzlich und häufig verwendeten Elementen, die seit Windows 7 vom Startmenü und der Taskleiste angezeigt wird.

  2026-05-25

• Wo Windows Jump-List-Dateien speichert (Win 7, 10, 11)

  Die genauen Festplattenpfade für AutomaticDestinations- und CustomDestinations-Jump-List-Artefakte unter Windows 7, 10 und 11.

  2026-05-25

• Windows Jump Lists verstehen

  Was Windows-Jump-List-Artefakte sind, wo sie auf der Festplatte liegen und warum sie für die digitale Forensik und Incident Response wichtig sind.

  2026-05-18