Blog

Notes sur la forensique des Jump Lists Windows.

• Les AppID de Jump List : ce qu'ils sont et comment en résoudre un

  L'AppID est le nom de fichier de la Jump List, et c'est un hachage, pas un nom. Comment le CRC-64 est dérivé, pourquoi on résout par table de correspondance et non par calcul, et ce que vaut un AppID inconnu dans une enquête.

  2026-06-15

• Les Jump Lists côté attaquant : reconnaissance, usurpation, nettoyage

  Ce qu'un adversaire fait réellement des Jump Lists. Les lire pour le ciblage, planter des entrées trompeuses, les limites de leur usage pour la persistance, et ce que chaque geste laisse derrière lui pour le défenseur.

  2026-06-15

• Reconstruire une chronologie Jump List quand on a cherché à l'effacer

  Comment reconstruire une chronologie défendable à partir de l'ordre MRU du DestList, et comment repérer les entrées supprimées, les horodatages falsifiés et une Jump List vidée pour ce qu'ils sont.

  2026-06-15

• Jump Lists vs ShellBags vs Prefetch : quel artefact répond à quoi

  Trois questions différentes, trois artefacts différents. Le guide d'un analyste de terrain sur ce que prouvent les Jump Lists, les ShellBags, le Prefetch et les fichiers LNK récents, là où ils se recoupent, et là où chacun est aveugle.

  2026-06-15

• Analyser AutomaticDestinations en Python, à la dure

  Ouvrir le fichier composé OLE, parcourir le flux DestList, décoder les LNK intégrés et convertir le FILETIME, avec les pièges de divergence de version et de verrouillage qui cassent les scripts naïfs.

  2026-06-15

• Le format de fichier AutomaticDestinations-ms expliqué

  Une référence au niveau octet du format automaticDestinations-ms : conteneur OLE Compound File, flux LNK numérotés et flux DestList.

  2026-05-25

• Comment vider ou supprimer les Jump Lists de Windows

  Trois façons de vider, supprimer ou désactiver les Jump Lists de Windows sur Windows 10 et 11, et ce que chaque méthode laisse réellement derrière elle d'un point de vue forensique.

  2026-05-25

• Le format de fichier CustomDestinations-ms expliqué

  Une référence technique pour le format customDestinations-ms : comment les applications le construisent via ICustomDestinationList et comment analyser ses charges LNK concaténées.

  2026-05-25

• Forensique des Jump Lists : un guide pratique DFIR

  Un flux de travail DFIR reproductible pour les Jump Lists : chemins cibles, horodatages d'accès, noms d'hôtes d'origine, mappage AppID-vers-application et citations de qualité rapport.

  2026-05-25

• Outils de parser Jump List comparés (2026)

  Une comparaison d'un praticien DFIR entre JLECmd, JumpListExplorer, Jumplist-Browser et un parser Jump List dans le navigateur.

  2026-05-25

• Qu'est-ce qu'une Jump List Windows ? Un guide pour débutants

  Une Jump List Windows est une liste par application d'éléments récemment et fréquemment utilisés, affichée depuis le menu Démarrer et la barre des tâches depuis Windows 7.

  2026-05-25

• Où Windows stocke les fichiers Jump List (Win 7, 10, 11)

  Les chemins exacts sur disque pour les artefacts Jump List AutomaticDestinations et CustomDestinations sous Windows 7, 10 et 11.

  2026-05-25

• Comprendre les Jump Lists de Windows

  Ce que sont les artefacts Jump List de Windows, où ils résident sur le disque, et pourquoi ils sont importants pour la forensique numérique et la réponse aux incidents.

  2026-05-18