Windows-LNK-Parser & Viewer

Voraussetzungen: Windows 10 (1803+), 11 oder Server 2019+. Eingabeaufforderung oder PowerShell mit „Als Administrator ausführen“ öffnen.

Kopiert alle .lnk-Dateien aus allen Benutzerprofilen und dem gemeinsamen Startmenü samt Zeitstempeln und Ordnerstruktur und packt das Ergebnis in ein ZIP.

robocopy C:\Users C:\triage\lnk\Users *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
robocopy "C:\ProgramData\Microsoft\Windows\Start Menu" "C:\triage\lnk\ProgramData\Microsoft\Windows\Start Menu" *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
tar -a -cf C:\triage\lnk.zip -C C:\triage lnk

Legen Sie C:\triage\lnk.zip hier ab (oder den Ordner C:\triage\lnk). Die Ordnerstruktur bleibt erhalten, sodass jede Verknüpfung nach Benutzer und Speicherort eingeordnet wird.

KAPE: Target LnkFilesAndJumpLists (erhöhte Konsole, im KAPE-Ordner)

kape.exe --tsource C: --tdest C:\triage\kape --target LnkFilesAndJumpLists

Legen Sie den Ordner C:\triage\kape ab. Die ebenfalls gesicherten Jump Lists werden als übersprungen aufgeführt, mit Link zum Jump-List-Parser. Brauchen Sie auch Autostart-, Startmenü- oder Taskleisten-Verknüpfungen? Prüfen Sie die Pfade des Targets oder nehmen Sie den schnellsten Befehl, der jede .lnk unter C:\Users erfasst.

Velociraptor: Artefakt Windows.Triage.Targets (Velociraptor-Triage-Projekt) mit LNKFilesAndJumpLists

In der Server-Oberfläche (New collection) oder mit einem Offline-Collector (Server Artifacts → Build offline collector) dieses Artefakt wählen, das Target LNKFilesAndJumpLists anhaken und das Collection-ZIP unverändert ablegen: Velociraptors Pfade uploads/auto/C%3A/… werden dekodiert.

Ältere Velociraptor-Versionen: früher Windows.KapeFiles.Targets, per Kommandozeile

velociraptor.exe artifacts collect Windows.KapeFiles.Targets --args LnkFilesAndJumpLists=Y --output C:\triage\lnk-velociraptor.zip

Legen Sie das erzeugte ZIP unverändert ab.

Windows: E01- oder Raw-Image schreibgeschützt einbinden (FTK Imager › File › Image Mounting oder Arsenal Image Mounter), dann auf dessen Laufwerksbuchstaben ausführen

robocopy E:\Users C:\triage\lnk\Users *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
robocopy "E:\ProgramData\Microsoft\Windows\Start Menu" "C:\triage\lnk\ProgramData\Microsoft\Windows\Start Menu" *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
tar -a -cf C:\triage\lnk.zip -C C:\triage lnk

Ersetzen Sie E: durch den Buchstaben der eingebundenen Windows-Partition und legen Sie C:\triage\lnk.zip ab.

Linux / macOS: Windows-Partition schreibgeschützt unter /mnt/windows eingebunden

cd /mnt/windows && find Users ProgramData/Microsoft/Windows -iname '*.lnk' | zip ~/lnk.zip -@

Legen Sie ~/lnk.zip ab. XP-Images haben die Profile unter Documents and Settings: diesen Ordner im find-Befehl statt Users ProgramData/… angeben.

Normale, nicht gesperrte Dateien: Alle Speicherorte liegen unter C:\Users\<user>\ oder C:\ProgramData\. AppData ist versteckt: Pfad in die Explorer-Adressleiste einfügen.

• Zuletzt verwendetVista+%APPDATA%\Microsoft\Windows\Recent\
• Office zuletzt verwendet%APPDATA%\Microsoft\Office\Recent\
• Desktop (Benutzer)%USERPROFILE%\Desktop\
• Autostart (Benutzer)%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\
• Autostart (alle)%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp\
• Angeheftete TaskleisteWin 7+%APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\
• Zuletzt verwendetXPC:\Documents and Settings\<user>\Recent\

Legen Sie sie gemeinsam ab, als ganzen Ordner oder ZIP, und behalten Sie die Struktur Users\<user>\… bei: Daraus ergeben sich Benutzer und Speicherort jeder Verknüpfung.

Zusätzlich sinnvoll: Die $MFT enthält die eigenen Erstellungs-/Änderungszeiten jeder .lnk-Datei für Ihre Zeitleiste, und Jump Lists (Recent\AutomaticDestinations, Recent\CustomDestinations) enthalten LNK-Streams: dafür den Jump-List-Parser nutzen

Vollständige Liste der .lnk-Speicherorte ↓