Jump List Parser
Gratuit · dans le navigateur · WebAssembly

Analyseur de Jump List Windows

Décodez les artefacts AutomaticDestinations et CustomDestinations — métadonnées LNK, horodatages, noms d'hôtes et éléments épinglés.

100 % côté client. Les fichiers sont analysés localement avec WebAssembly et ne quittent jamais votre navigateur.

Ouvrir des jump listsQu'est-ce qu'une jump list ?

Déposez ici des jump lists, un dossier ou une collecte ZIP

*.automaticDestinations-ms, *.customDestinations-ms, ZIP KAPE / Velociraptor ou un profil utilisateur complet — ou cliquez pour choisir des fichiers

Choisir des fichiers

L'exemple est synthétique : des jump lists d'une intrusion fictive — aucune donnée réelle. Astuce : sélectionnez creds.txt et utilisez Autour… (±5 min) dans la plage horaire.

Comment récupérer vos données

De zéro à l'analyse en moins de deux minutes — prenez la première méthode qui convient.
  1. Collectez les jump lists
  2. Déposez le dossier ou le ZIP ici
  3. Tout reste dans votre navigateur

Prérequis : Windows PowerShell ouvert avec « Exécuter en tant qu'administrateur » (clic droit sur Démarrer → Terminal (admin) / Windows PowerShell (admin)). Collez le bloc entier.

Tous les utilisateurs, depuis un cliché instantané (recommandé)

$ErrorActionPreference = 'Stop'
New-Item -ItemType Directory -Force C:\triage | Out-Null
$s = Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{ Volume = 'C:\' }
$v = Get-CimInstance Win32_ShadowCopy | Where-Object ID -eq $s.ShadowID
if (-not $v) { throw 'Shadow copy failed: run PowerShell as administrator' }
cmd /c mklink /d C:\triage\vss "$($v.DeviceObject)\"
Get-ChildItem C:\triage\vss\Users -Directory | Where-Object { -not ($_.Attributes -band [IO.FileAttributes]::ReparsePoint) -and (Test-Path "$($_.FullName)\AppData\Roaming\Microsoft\Windows\Recent") } | ForEach-Object {
  robocopy "$($_.FullName)\AppData\Roaming\Microsoft\Windows\Recent" "C:\triage\JumpLists\Users\$($_.Name)" *.automaticDestinations-ms *.customDestinations-ms /S /B /R:0 /W:0 /NJH /NP
}
cmd /c rmdir C:\triage\vss
$v | Remove-CimInstance
Invoke-Item C:\triage\JumpLists

Crée un cliché instantané (VSS) de C: pour copier intacts les fichiers ouverts par explorer.exe, copie les deux dossiers de chaque profil dans C:\triage\JumpLists\Users\<user>\, puis supprime le cliché et ouvre le dossier.

Votre profil uniquement, sans droits admin

robocopy "$env:APPDATA\Microsoft\Windows\Recent" "C:\triage\JumpLists\Users\$env:USERNAME" *.automaticDestinations-ms *.customDestinations-ms /S /R:0 /W:0 /NJH /NP

Simple copie à chaud dans une fenêtre PowerShell normale. Suffisant pour un premier coup d'œil ; un fichier en cours d'écriture par explorer.exe peut être ignoré ou copié vide.

→ Glissez ensuite le dossier C:\triage\JumpLists sur la zone de dépôt (ou zippez-le pour le transférer ; un ZIP créé avec Compress-Archive de PowerShell fonctionne aussi).

Pièges

  • Une copie à chaud peut être vide (0 octet) quand explorer.exe tient le fichier — utilisez la commande avec cliché instantané, KAPE ou une image ; l'analyseur signale les fichiers vides.
  • Lire les profils des autres utilisateurs exige une invite élevée (administrateur) ; sans elle, vous n'obtenez que le vôtre.
  • Les horodatages sont stockés en UTC ; les entrées vieillissent et l'utilisateur peut vider les listes : une liste vide ou courte est en soi un constat.

Comment récupérer vos données

Enregistrer cette analyse

Enregistrée uniquement dans ce navigateur (IndexedDB). Les fichiers ne quittent jamais votre appareil.

  • 010 octet envoyé
  • 02Windows 7 – 11
  • 03Destinations automatiques + personnalisées
  • 04Plus de 700 AppID connus

Tout ce dont une jump list se souvient

Chaque entrée est une étape du parcours : un fichier, un dossier ou une tâche ouverts par l'utilisateur, avec la date de son dernier passage.

  • Chronologie DestList

    Date de dernière ouverture, numéro d'entrée et état épinglé de chaque élément, directement depuis le flux DestList.

  • Métadonnées LNK intégrées

    Chemin cible, dates de création / modification / accès, taille, attributs, numéro de série, nom et type de volume.

  • Résolution des AppID

    Plus de 700 AppID connus transforment le nom de fichier hexadécimal en application propriétaire de la liste.

  • Machine et tracker

    Nom NetBIOS et adresse MAC du bloc tracker LNK — repérez les éléments ouverts depuis une autre machine.

  • Tâches et arguments

    Catégories CustomDestinations, descriptions de tâches et arguments de ligne de commande, y compris les URL des navigateurs.

  • Confidentiel par conception

    Un analyseur Rust compilé en WebAssembly. Les fichiers ne quittent jamais l'onglet, même hors ligne.

De la collecte à la réponse en trois étapes

  1. 1

    Collecter

    Récupérez AutomaticDestinations et CustomDestinations dans chaque profil — en live, depuis un cliché VSS ou une image forensique.

  2. 2

    Déposer

    Glissez les fichiers sur la page. L'analyse s'exécute localement en WebAssembly en une fraction de seconde.

  3. 3

    Enquêter

    Triez par dernière utilisation, filtrez par application ou chemin, inspectez chaque champ LNK et exportez en JSON ou CSV.

Outils associés

Les artefacts qui répondent à la question suivante de la même enquête.

Les questions des enquêteurs

Mes fichiers sont-ils envoyés quelque part ?

Non. L'analyseur est compilé en WebAssembly et s'exécute dans votre onglet. Il n'existe aucun point d'envoi : vous pouvez charger la page, vous déconnecter du réseau et continuer à analyser.

AutomaticDestinations ou CustomDestinations : quelle différence ?

Les AutomaticDestinations sont des conteneurs OLE gérés par le shell pour les éléments récents et fréquents, avec un flux DestList contenant dates d'utilisation et épinglages. Les CustomDestinations sont écrites par l'application elle-même : tâches, catégories personnalisées et éléments épinglés.

Que m'apprend l'AppID du nom de fichier ?

Le préfixe de 16 caractères hexadécimaux identifie l'application propriétaire de la liste (par exemple 5f7b5f1e01b83767 correspond à Accès rapide). L'outil résout plus de 700 AppID connus ; conservez les noms d'origine lors de la collecte.

Quel horodatage indique la dernière ouverture d'un fichier ?

La date « dernière utilisation » du DestList d'une entrée AutomaticDestinations. Les dates de création / modification / accès proviennent du LNK intégré et décrivent le fichier cible lui-même.

Les fichiers supprimés ou déplacés apparaissent-ils encore ?

Oui. Les entrées persistent après la suppression, le renommage de la cible ou le retrait d'une clé USB, jusqu'à l'effacement de la liste ou l'expiration de l'entrée — c'est précisément ce qui rend les jump lists précieuses en investigation.

Retracez le parcours

Ouvrez une jump list maintenant — elle ne quitte jamais votre navigateur.

Choisir des fichiers