Windows’ta bir uygulamanın görev çubuğu simgesine sağ tıkladığınızda beliren “son açılanlar” ve “sabitlenenler” menüsü, kullanıcıya kolaylık sağlamak için tutulur. Bu listelerin arkasında ise AutomaticDestinations ve CustomDestinations klasörlerinde saklanan, her kullanıcıya ve her uygulamaya özel dosyalar durur. Kullanıcının farkında olmadan biriken bu kayıtlar, birinin bilgisayarda tam olarak neyi, hangi uygulamayla ve ne zaman açtığını anlatan sessiz bir günlüğe dönüşür.

Kayıtların anlattığı hikâye

Bir jump list girdisi çoğu zaman bir LNK yapısı taşır; içinde hedef dosyanın tam yolu, ilk ve son erişim zamanları, dosya boyutu ve hatta dosyanın bulunduğu sürücünün seri numarası yer alabilir. Bu, silinmiş bir belgenin ya da artık takılı olmayan bir USB’deki dosyanın bir zamanlar açıldığını kanıtlamak için son derece değerlidir. Adli bilişim pratiğinde bu ayrıntı, “kullanıcı bu dosyayı gördü mü?” sorusunu tahmine değil belgeye dayandırmayı mümkün kılar.

Jump list, kullanıcının hangi dosyayı hangi uygulamayla ne zaman açtığını farkında olmadan tutan bir kişisel etkinlik günlüğüdür.

Olay akışındaki yeri

Jump list kayıtları tek başına okunmaz; asıl gücü diğer kanıtlarla yan yana geldiğinde ortaya çıkar. Bir belgenin açılma anını prefetch, shellbag ve olay günlükleriyle birlikte diziye yerleştirdiğinizde, kullanıcının o dosyaya dokunduğu an bir Zaman çizelgesi analizi içinde net bir noktaya oturur. Bu çakıştırma, örneğin bir veri sızıntısında hangi belgenin hangi sırayla ele alındığını ortaya koyar.

Bir olay müdahalesinde bu tür kullanıcı odaklı yapılar, teknik göstergelerle insan davranışını birbirine bağlayan köprüdür. Zararlının nasıl çalıştığını anlatan telemetriyle, bir çalışanın hangi dosyaları eline aldığını gösteren jump list birleştiğinde tablo tamamlanır. Bu yüzden bu artefaktların toplanması ve yorumlanması, DFIR adli analiz ve olay müdahalesi çalışmasının rutin bir parçasıdır.

Dosya sisteminin bütünüyle okumak

Jump list dosyalarının kendileri de NTFS üzerinde yaşayan nesnelerdir; oluşturulma ve değiştirilme zamanları, silinip silinmedikleri ya da manipüle edilip edilmedikleri ancak Dosya sistemi adli analizi ile doğrulanır. Girdinin içindeki zaman damgasıyla dosyanın MFT kaydındaki zamanların çelişmesi, kayıtların sonradan oynanmış olabileceğine dair güçlü bir işarettir ve incelemeciyi ikinci bir doğrulamaya yönlendirir.

• Silinmiş ya da taşınmış dosyaların bir zamanlar açıldığını kanıtlama
• Artık takılı olmayan harici disklerdeki dosya erişimlerini yakalama
• Kullanıcı etkinliğini uygulama bazında zaman sırasına dizme
• Zaman damgası çelişkilerinden manipülasyon şüphesini çıkarma

Sonuç ve uzman değerlendirmesi

Jump list analizi, teknik loglardan çok insanın izini süren bir disiplindir; doğru okunduğunda bir soruşturmanın en ikna edici parçalarından birini sunar, yanlış yorumlandığında ise masumu şüpheli konumuna düşürebilir. Bu incevzin dengeyi kurmak deneyim ister. Privia Security’nin adli analiz hizmeti, jump list kayıtlarını izole bir bulgu olarak değil, kullanıcı davranışını bütün bir kanıt zinciri içinde konumlandıran bir anlatının halkası olarak değerlendirir.