mcpField
A
analyzing-windows-shellbag-artifacts

analyzing-windows-shellbag-artifacts

github.com/mukul975セキュリティ35.2k212 回インストール8 週間前に更新
リポジトリ

analyzing-windows-shellbag-artifacts について

Windows の Shellbag レジストリアーティファクトを調べる、セキュリティ調査向けのフォレンジック分析スキルです。レジストリの場所や構造、EZ Tools の使い方を扱い、現存しないフォルダーの閲覧経路も再構成します。

主な機能

  1. 01Shellbag のレジストリ位置の説明
  2. 02BagMRU 階層構造の解析
  3. 03EZ Tools による分析
  4. 04USB とネットワークパスの調査
  5. 05分析上の制約の確認

活用シーン

  1. 01削除済みフォルダーの閲覧痕跡の調査
  2. 02リムーバブルデバイスのアクセス記録の確認
  3. 03ネットワーク共有へのアクセス証拠の分析

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-windows-shellbag-artifacts

インストール後、Claude Code で/analyzing-windows-shellbag-artifactsを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

Windows Shellbag アーティファクトの分析

概要

Shellbag は、ユーザーが Windows Explorer を通じてフォルダーをどのように操作したかを記録する Windows レジストリアーティファクトです。アイコンのサイズ、ウィンドウの位置、並べ替え順、表示モードなどの表示設定が保存されます。フォレンジックの観点では、Shellbag はフォルダーへのアクセスを示す確かな証拠となります。システム上に存在しなくなったフォルダーも対象です。ユーザーが Windows Explorer、［開く／保存］ダイアログ、またはコントロール パネルからフォルダーを表示すると、ユーザーのレジストリハイブに Shellbag エントリが作成または更新されます。これらのエントリは、フォルダーの削除後、ドライブの切断後、さらにはユーザープロファイルのリセット後も残るため、ユーザーがローカルドライブ、USB デバイス、ネットワーク共有、zip アーカイブ上の特定のディレクトリを開いたことを証明するうえで非常に有用です。

使用する場面

  • Windows の Shellbag アーティファクトの分析が必要なセキュリティインシデントを調査するとき
  • この分野の検出ルールや脅威ハンティング用クエリを作成するとき
  • SOC アナリストがこの種の分析に関する体系的な手順を必要とするとき
  • 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

  • デジタルフォレンジックの概念とツールに関する知識
  • 安全に実行できるテスト環境またはラボ環境へのアクセス
  • 必要な依存関係をインストールした Python 3.8 以降
  • テスト活動に必要な適切な許可

レジストリの場所

Windows 7/8/10/11
ハイブキーパス格納内容
NTUSER.DATSoftware\Microsoft\Windows\Shell\BagMRUフォルダー階層ツリー
NTUSER.DATSoftware\Microsoft\Windows\Shell\Bagsフォルダーごとの表示設定
UsrClass.datLocal Settings\Software\Microsoft\Windows\Shell\BagMRUデスクトップ／Explorer シェル
UsrClass.datLocal Settings\Software\Microsoft\Windows\Shell\Bags追加の表示設定
BagMRU の構造

BagMRU キーには、ディレクトリ構造を表す番号付きサブキーの階層ツリーが含まれています。各サブキーの値には、フォルダーの識別情報をエンコードした Shell Item（SHITEMID）のバイナリブロブが格納されています。

  • ルート（BagMRU）：デスクトップの名前空間ルート
  • BagMRU\0：通常は「マイ コンピューター」
  • BagMRU\0\0：最初のドライブ（例：C:）
  • BagMRU\0\0\0：C: 上の最初のサブフォルダー

各 Shell Item には次の情報が含まれます。

  • アイテムの種類（フォルダー、ドライブ、ネットワーク、zip、コントロール パネル）
  • 短い名前（8.3 形式）
  • 長い名前（Unicode）
  • 作成／変更のタイムスタンプ
  • NTFS フォルダーの MFT エントリ／シーケンス

EZ Tools による分析

SBECmd（コマンドライン）
# Parse shellbags from a directory of registry hives
SBECmd.exe -d "C:\Evidence\Registry" --csv C:\Output --csvf shellbags.csv

# Parse from a live system (requires admin)
SBECmd.exe --live --csv C:\Output --csvf live_shellbags.csv

# Key output columns:
# AbsolutePath - Full reconstructed path
# CreatedOn - When the folder was first browsed
# ModifiedOn - When view settings were last changed
# AccessedOn - Last access timestamp
# ShellType - Type of shell item (Directory, Drive, Network, etc.)
# Value - Raw shell item data
ShellBags Explorer（GUI）
# Launch GUI tool for interactive analysis
ShellBagsExplorer.exe

# Load registry hives: File > Load Hive
# Navigate the tree structure to see folder hierarchy
# Right-click entries for detailed shell item properties

フォレンジック調査のシナリオ

USB デバイスの閲覧を証明する
Shellbag Path: My Computer\E:\Confidential\Project_Files
ShellType: Directory (on removable volume)
CreatedOn: 2025-03-15 09:30:00 UTC

This proves the user navigated to E:\Confidential\Project_Files
via Windows Explorer, even if the USB drive is no longer connected.
The volume letter E: and directory timestamps can be correlated
with USBSTOR and MountPoints2 registry entries.
ネットワーク共有へのアクセスを検出する
Shellbag Path: \\FileServer01\Finance\Q4_Reports
ShellType: Network Location
AccessedOn: 2025-02-20 14:15:00 UTC

This proves the user browsed to a network share, even if
the share has been decommissioned or access revoked.
削除されたフォルダーをユーザーが把握していたことを特定する
Shellbag Path: C:\Users\suspect\Documents\Exfiltration_Staging
ShellType: Directory
CreatedOn: 2025-01-10 08:00:00 UTC

Even though C:\Users\suspect\Documents\Exfiltration_Staging
no longer exists, the Shellbag entry proves the user
created and navigated to this folder.

制限事項

  • Shellbag に記録されるのはフォルダーレベルの操作のみで、個々のファイルへのアクセスは記録されません
  • Shellbag は Windows Explorer シェルおよび［開く／保存］ダイアログを通じてのみ作成されます
  • コマンドライン（cmd、PowerShell）からのアクセスでは Shellbag エントリは生成されません
  • API を介したプログラムによるファイルアクセスでは Shellbag エントリは生成されません
  • タイムスタンプは表示設定の変更を示す場合があり、必ずしもフォルダーへのアクセスを示すものではありません
  • Windows は Explorer の終了時に Shellbag エントリをまとめて更新することがあります

参考資料

出力例

$ SBECmd.exe -d "C:\Evidence\Users\jsmith" --csv /analysis/shellbag_output

SBECmd v2.1.0 - ShellBags Explorer (Command Line)
====================================================
Processing hives for user: jsmith
  NTUSER.DAT:  C:\Evidence\Users\jsmith\NTUSER.DAT
  UsrClass.dat: C:\Evidence\Users\jsmith\AppData\Local\Microsoft\Windows\UsrClass.dat

[+] NTUSER.DAT shellbag entries:   456
[+] UsrClass.dat shellbag entries: 1,234
[+] Total shellbag entries:        1,690

--- Folder Access Timeline (Incident Window) ---
Last Accessed (UTC)     | Folder Path                                             | Type        | Access Count
------------------------|---------------------------------------------------------|-------------|-------------
2024-01-15 14:34:05     | C:\Users\jsmith\Downloads                               | File System | 45
2024-01-15 14:36:25     | C:\ProgramData\Updates                                  | File System | 3
2024-01-15 15:05:00     | \\FILESERV01\Finance                                    | Network     | 2
2024-01-15 15:12:30     | \\FILESERV01\Finance\Q4_Reports                          | Network     | 1
2024-01-15 15:30:00     | E:\                                                     | Removable   | 4
2024-01-15 15:30:45     | E:\Backup                                               | Removable   | 3
2024-01-15 15:31:20     | E:\Backup\Corporate_Data                                | Removable   | 2
2024-01-15 16:12:45     | \\FILESERV01\HR\Employees                                | Network     | 1
2024-01-15 16:15:00     | \\FILESERV01\HR\Employees\Records_2024                   | Network     | 1
2024-01-16 02:35:00     | C:\Windows\Temp                                         | File System | 5
2024-01-17 02:44:00     | C:\ProgramData\svc                                     | File System | 2
2024-01-18 01:10:00     | C:\Users\jsmith\AppData\Local\Temp                      | File System | 8

--- Network Share Access ---
  \\FILESERV01\Finance             First: 2023-09-10  Last: 2024-01-15
  \\FILESERV01\Finance\Q4_Reports  First: 2024-01-15  Last: 2024-01-15  (NEW)
  \\FILESERV01\HR\Employees        First: 2024-01-15  Last: 2024-01-15  (NEW)
  \\DC01\SYSVOL                    First: 2023-03-15  Last: 2024-01-16  (anomalous access time)

--- Removable Device Access ---
  E:\ (USB Drive)
    Volume Name:    BACKUP_DRIVE
    First Accessed: 2024-01-15 15:30:00 UTC
    Last Accessed:  2024-01-15 15:45:22 UTC
    Folders Browsed: 3 (E:\, E:\Backup, E:\Backup\Corporate_Data)

--- Deleted/No Longer Existing Paths ---
  C:\ProgramData\Updates\                (folder deleted, shellbag persists)
  C:\ProgramData\svc\                    (folder deleted, shellbag persists)
  C:\Windows\Temp\tools\                 (folder deleted, shellbag persists)

Summary:
  Total unique folders accessed:  1,690
  Network shares accessed:        4 (2 newly accessed during incident)
  Removable media:                1 USB device (data staging suspected)
  Deleted folder evidence:        3 paths (anti-forensics indicator)
  CSV exported to:                /analysis/shellbag_output/

コメント

Markdown 対応