Shellbags, Windows’un her klasör için pencere boyutu, sıralama ve görünüm biçimi gibi tercihleri hatırlamak amacıyla kayıt defterinde sakladığı kayıtlardır. Kullanıcı bir klasörü açıp penceresini yeniden boyutlandırdığında Windows bunu not eder; adli açıdan asıl önemi ise bu notun, o klasörün bir zamanlar açıldığının kalıcı bir kanıtı olmasıdır.

Bir klasörü silseniz de, onu bir kez açtığınızın izi Shellbags kayıtlarında kalmaya devam edebilir.

Ne Kaydeder?

Shellbags, kullanıcının gezindiği klasörlerin yollarını, adlarını ve bunlara erişim zamanlarına dair bilgileri kullanıcıya özel kayıt defteri dosyalarında (NTUSER.DAT ve UsrClass.dat) tutar. Bu kayıtlar yalnızca yerel disklerle sınırlı değildir; takılan bir USB belleğin, ağ paylaşımının ve hatta silinmiş klasörlerin izleri de burada birikebilir. Böylece artık var olmayan bir dizinin bir zamanlar var olduğu ve gezildiği ortaya konabilir.

Kayıtlar kullanıcı hesabına bağlı olduğundan, bir eylemin hangi kullanıcı tarafından yapıldığını ilişkilendirmeye de yardımcı olur. Bu yönüyle Shellbags, kullanıcı davranışını yeniden kurmaya çalışan adli bilişim incelemelerinin değerli bir bileşenidir.

Soruşturmada Ne Anlatır?

Bir veri sızıntısı ya da içeriden tehdit vakasında en kritik soru çoğu zaman şudur: kullanıcı hassas verinin bulunduğu klasöre erişti mi? Shellbags, bir klasörün gezildiğini, dosyanın kendisine dokunulmamış olsa bile gösterebilir. Bir çalışanın harici bir diske bağlanıp belirli dizinlerde gezinmesi, tek başına bir niyet göstergesi olmasa da soruşturmaya güçlü bir yön verir.

Bu izler diğer artefaktlarla birleştirildiğinde anlam kazanır. Shellbags’in ortaya koyduğu klasör erişimleri, disk üzerindeki dosya olaylarını inceleyen dosya sistemi adli analizi bulgularıyla eşleştirildiğinde, bir kullanıcının veriyle nasıl bir etkileşime girdiği çok daha net görülür.

İz Gizlemeye Karşı Dayanıklılığı

Shellbags’i özellikle değerli kılan, kullanıcıların çoğunun varlığından bile haberdar olmamasıdır. Bir saldırgan gezdiği dizinlerin dosyalarını silse ya da geçmişini temizlese dahi, kayıt defterinin derinlerindeki bu kayıtlar sıklıkla geride kalır. Bu kayıtları elle temizlemeye çalışmak zahmetli ve hataya açıktır; bu nedenle Shellbags, birçok anti-forensic teknikler denemesine karşı beklenmedik biçimde dirençlidir.

Privia Security, olay incelemelerinde Shellbags gibi kullanıcı etkinliği artefaktlarını çözümleyen adli analiz hizmetiyle, bir kullanıcının sistemde nereleri gezdiğini ve hangi verilere yaklaştığını ortaya koyar. Bu bulgular, kurumun geniş DFIR adli analiz ve olay müdahalesi sürecini besleyen kritik ayrıntılardan biridir.