Jump List ParserAnalizador de Jump List de Windows
Decodifica artefactos AutomaticDestinations y CustomDestinations — metadatos LNK, marcas de tiempo, nombres de host y elementos anclados.
100 % del lado del cliente. Los archivos se analizan localmente con WebAssembly y nunca salen de tu navegador.
Suelta aquí jump lists, una carpeta o una colección ZIP
*.automaticDestinations-ms, *.customDestinations-ms, ZIP de KAPE / Velociraptor o un perfil de usuario completo — o haz clic para elegir archivos
El ejemplo es sintético: jump lists de una intrusión ficticia — sin datos reales. Consejo: seleccione creds.txt y use Alrededor… (±5 min) en el rango de tiempo.
Cómo obtener tus datos
De cero a analizado en menos de dos minutos: elige el primer método que encaje.- Recopila las jump lists
- Suelta la carpeta o el ZIP aquí
- Todo se queda en tu navegador
Requisito: Windows PowerShell abierto con «Ejecutar como administrador» (clic derecho en Inicio → Terminal (administrador) / Windows PowerShell (administrador)). Pega el bloque completo.
Todos los usuarios, desde una instantánea (recomendado)
$ErrorActionPreference = 'Stop'
New-Item -ItemType Directory -Force C:\triage | Out-Null
$s = Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{ Volume = 'C:\' }
$v = Get-CimInstance Win32_ShadowCopy | Where-Object ID -eq $s.ShadowID
if (-not $v) { throw 'Shadow copy failed: run PowerShell as administrator' }
cmd /c mklink /d C:\triage\vss "$($v.DeviceObject)\"
Get-ChildItem C:\triage\vss\Users -Directory | Where-Object { -not ($_.Attributes -band [IO.FileAttributes]::ReparsePoint) -and (Test-Path "$($_.FullName)\AppData\Roaming\Microsoft\Windows\Recent") } | ForEach-Object {
robocopy "$($_.FullName)\AppData\Roaming\Microsoft\Windows\Recent" "C:\triage\JumpLists\Users\$($_.Name)" *.automaticDestinations-ms *.customDestinations-ms /S /B /R:0 /W:0 /NJH /NP
}
cmd /c rmdir C:\triage\vss
$v | Remove-CimInstance
Invoke-Item C:\triage\JumpListsCrea una instantánea de volumen (VSS) de C: para copiar intactos los archivos que explorer.exe mantiene abiertos, copia las dos carpetas de cada perfil a C:\triage\JumpLists\Users\<user>\, luego borra la instantánea y abre la carpeta.
Solo tu propio perfil, sin administrador
robocopy "$env:APPDATA\Microsoft\Windows\Recent" "C:\triage\JumpLists\Users\$env:USERNAME" *.automaticDestinations-ms *.customDestinations-ms /S /R:0 /W:0 /NJH /NPCopia en vivo en una ventana normal de PowerShell. Suficiente para un vistazo rápido; un archivo que explorer.exe esté escribiendo en ese momento puede omitirse o quedar vacío.
→ Después arrastra la carpeta C:\triage\JumpLists a la zona de carga (o comprímela en ZIP para moverla; un ZIP creado con Compress-Archive de PowerShell también sirve).
Trampas habituales
- Las copias en vivo pueden quedar vacías (0 bytes) cuando explorer.exe tiene el archivo abierto: usa el comando con instantánea, KAPE o una imagen; el analizador marca los archivos vacíos.
- Leer los perfiles de otros usuarios requiere una consola elevada (administrador); sin ella solo obtienes el tuyo.
- Las marcas de tiempo se guardan en UTC; las entradas caducan y el usuario puede vaciar las listas: una lista vacía o corta ya es un hallazgo.
- 010 bytes subidos
- 02Windows 7 – 11
- 03Destinos automáticos + personalizados
- 04Más de 700 AppID conocidos
Todo lo que recuerda una jump list
Cada entrada es un punto del recorrido: un archivo, carpeta o tarea que el usuario abrió, con la fecha de su última visita.
Cronología DestList
Cuándo se abrió por última vez cada elemento, su número de entrada y si está anclado, directamente del flujo DestList.
Metadatos LNK incrustados
Ruta de destino, fechas de creación / modificación / acceso, tamaño, atributos, número de serie, etiqueta y tipo de volumen.
Resolución de AppID
Más de 700 AppID conocidos convierten el nombre hexadecimal del archivo en la aplicación dueña de la lista.
Equipo y tracker
Nombre NetBIOS y dirección MAC del bloque tracker del LNK: detecta elementos abiertos desde otro equipo.
Tareas y argumentos
Categorías de CustomDestinations, descripciones de tareas y argumentos de línea de comandos, incluidas las URL del navegador.
Privado por diseño
Un analizador en Rust compilado a WebAssembly. Los archivos nunca salen de la pestaña, incluso sin conexión.
De la recolección a la respuesta en tres pasos
- 1
Recolectar
Obtén AutomaticDestinations y CustomDestinations de cada perfil de usuario: en vivo, desde una instantánea VSS o una imagen forense.
- 2
Soltar
Arrastra los archivos a la página. El análisis se ejecuta localmente en WebAssembly en una fracción de segundo.
- 3
Investigar
Ordena por último uso, filtra por aplicación o ruta, examina cada campo LNK y exporta a JSON o CSV.
Herramientas relacionadas
Artefactos que responden a la siguiente pregunta del mismo caso.
Preguntas frecuentes de los investigadores
¿Se suben mis archivos a algún sitio?
No. El analizador está compilado a WebAssembly y se ejecuta en tu pestaña. No hay ningún punto de subida: puedes cargar la página, desconectarte de la red y seguir analizando.
AutomaticDestinations o CustomDestinations: ¿cuál es la diferencia?
Las AutomaticDestinations son contenedores OLE que mantiene el shell para los elementos recientes y frecuentes, con un flujo DestList que guarda fechas de uso y anclajes. Las CustomDestinations las escribe la propia aplicación: tareas, categorías personalizadas y elementos anclados.
¿Qué me dice el AppID del nombre de archivo?
El prefijo de 16 dígitos hexadecimales identifica la aplicación dueña de la lista (por ejemplo, 5f7b5f1e01b83767 es Acceso rápido). La herramienta resuelve más de 700 AppID conocidos; conserva los nombres originales al recolectar.
¿Qué marca de tiempo indica cuándo se abrió un archivo por última vez?
La fecha de «último uso» del DestList de una entrada AutomaticDestinations. Las fechas de creación / modificación / acceso provienen del LNK incrustado y describen el propio archivo de destino.
¿Siguen apareciendo los archivos eliminados o movidos?
Sí. Las entradas persisten después de que el destino se elimine, se renombre o se retire una unidad USB, hasta que se borre la lista o la entrada caduque; por eso las jump lists son tan valiosas en una investigación.