Comprendre les Jump Lists Windows

Les Jump Lists ont été introduites dans Windows 7 pour offrir un accès rapide aux fichiers récemment et fréquemment utilisés par application. Pour un analyste forensique, elles constituent un riche enregistrement de l'activité de l'utilisateur : quels fichiers ont été ouverts, quand et depuis où.

Si vous découvrez le sujet, commencez par l'introduction de niveau débutant : qu'est-ce qu'une Jump List Windows ?.

Deux types de fichiers

• AutomaticDestinations (*.automaticDestinations-ms) — un fichier composé OLE. Chaque flux numéroté est un raccourci Windows (LNK), et un flux DestList les ordonne et enregistre les horodatages d'accès ainsi que le nom d'hôte d'origine.
• CustomDestinations (*.customDestinations-ms) — des catégories définies par l'application contenant une séquence de structures LNK.

Les deux se trouvent sous %AppData%\Microsoft\Windows\Recent\(Automatic|Custom)Destinations\ — voir où Windows stocke les fichiers Jump List pour les chemins par utilisateur, la convention de nommage par AppID et la récupération sur image forensique.

Pourquoi les analyser dans le navigateur ?

Pour une enquête, la chaîne de possession est essentielle. Cet outil compile un analyseur Rust en WebAssembly et l'exécute entièrement côté client : l'artefact ne quitte jamais votre machine, et aucun serveur ne le journalise. Pour une comparaison côte à côte avec les autres outils, voir la comparaison des parseurs Jump List.

Déposez un fichier sur la page d'accueil pour voir les entrées décodées. Vous cherchez une méthodologie d'enquête pas à pas ? Lisez la méthodologie DFIR. Vous voulez au contraire effacer l'historique des Jump Lists ? Voir comment effacer ou supprimer les Jump Lists Windows.