Analizador y visor LNK de Windows

Antes de empezar: Windows 10 (1803+), 11 o Server 2019+. Abre el Símbolo del sistema o PowerShell con «Ejecutar como administrador».

Copia todos los .lnk de todos los perfiles de usuario y del menú Inicio común, con sus marcas de tiempo y su estructura de carpetas, y comprime el resultado en un ZIP.

robocopy C:\Users C:\triage\lnk\Users *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
robocopy "C:\ProgramData\Microsoft\Windows\Start Menu" "C:\triage\lnk\ProgramData\Microsoft\Windows\Start Menu" *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
tar -a -cf C:\triage\lnk.zip -C C:\triage lnk

Suelta aquí C:\triage\lnk.zip (o la carpeta C:\triage\lnk). Se conserva la estructura de carpetas, así que cada acceso directo se clasifica por usuario y ubicación.

KAPE: target LnkFilesAndJumpLists (consola elevada, en la carpeta de KAPE)

kape.exe --tsource C: --tdest C:\triage\kape --target LnkFilesAndJumpLists

Suelta la carpeta C:\triage\kape. Las jump lists que también recopila aparecen como omitidas, con un enlace al parser de jump lists. ¿Necesitas también los accesos de Inicio, menú Inicio o barra de tareas? Revisa las rutas del target o usa el comando más rápido, que toma todos los .lnk bajo C:\Users.

Velociraptor: artefacto Windows.Triage.Targets (proyecto Velociraptor Triage) con LNKFilesAndJumpLists

Desde la interfaz del servidor (New collection) o un recolector offline (Server Artifacts → Build offline collector), elige ese artefacto, marca el target LNKFilesAndJumpLists y suelta el ZIP de la colección tal cual: las rutas uploads/auto/C%3A/… de Velociraptor se decodifican.

Versiones antiguas de Velociraptor: antes Windows.KapeFiles.Targets, por línea de comandos

velociraptor.exe artifacts collect Windows.KapeFiles.Targets --args LnkFilesAndJumpLists=Y --output C:\triage\lnk-velociraptor.zip

Suelta el ZIP resultante tal cual.

Windows: monta la imagen E01 o raw en solo lectura (FTK Imager › File › Image Mounting, o Arsenal Image Mounter) y ejecuta sobre su letra de unidad

robocopy E:\Users C:\triage\lnk\Users *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
robocopy "E:\ProgramData\Microsoft\Windows\Start Menu" "C:\triage\lnk\ProgramData\Microsoft\Windows\Start Menu" *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
tar -a -cf C:\triage\lnk.zip -C C:\triage lnk

Sustituye E: por la letra de la partición de Windows montada y suelta C:\triage\lnk.zip.

Linux / macOS: partición de Windows montada en solo lectura en /mnt/windows

cd /mnt/windows && find Users ProgramData/Microsoft/Windows -iname '*.lnk' | zip ~/lnk.zip -@

Suelta ~/lnk.zip. En imágenes de XP los perfiles están en Documents and Settings: pon esa carpeta en el comando find en lugar de Users ProgramData/….

Archivos normales, no bloqueados: todas las ubicaciones están bajo C:\Users\<user>\ o C:\ProgramData\. AppData está oculta: pega la ruta en la barra de direcciones del Explorador.

• Elementos recientesVista+%APPDATA%\Microsoft\Windows\Recent\
• Recientes de Office%APPDATA%\Microsoft\Office\Recent\
• Escritorio (usuario)%USERPROFILE%\Desktop\
• Inicio automático (usuario)%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\
• Inicio automático (todos)%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp\
• Barra de tareas ancladaWin 7+%APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\
• Elementos recientesXPC:\Documents and Settings\<user>\Recent\

Suéltalos juntos, como carpeta completa o ZIP, y conserva la estructura Users\<user>\…: así cada acceso directo obtiene su usuario y su ubicación.

Conviene recopilar también: la $MFT registra las fechas de creación/modificación propias de cada .lnk para tu línea de tiempo, y las jump lists (Recent\AutomaticDestinations, Recent\CustomDestinations) contienen flujos LNK: usa el parser de jump lists

Lista completa de ubicaciones .lnk ↓