Analyseur & visionneuse LNK Windows

Avant de commencer: Windows 10 (1803+), 11 ou Server 2019+. Ouvrez l'invite de commandes ou PowerShell avec « Exécuter en tant qu'administrateur ».

Copie tous les .lnk de tous les profils utilisateur et du menu Démarrer commun, avec leurs horodatages et l'arborescence, puis compresse le tout en ZIP.

robocopy C:\Users C:\triage\lnk\Users *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
robocopy "C:\ProgramData\Microsoft\Windows\Start Menu" "C:\triage\lnk\ProgramData\Microsoft\Windows\Start Menu" *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
tar -a -cf C:\triage\lnk.zip -C C:\triage lnk

Déposez C:\triage\lnk.zip ici (ou le dossier C:\triage\lnk). L'arborescence est conservée : chaque raccourci est classé par utilisateur et par emplacement.

KAPE : cible LnkFilesAndJumpLists (invite élevée, dans le dossier de KAPE)

kape.exe --tsource C: --tdest C:\triage\kape --target LnkFilesAndJumpLists

Déposez le dossier C:\triage\kape. Les jump lists aussi collectées apparaissent comme ignorées, avec un lien vers le parseur de jump lists. Besoin aussi des raccourcis Démarrage, menu Démarrer ou barre des tâches ? Vérifiez les chemins de la cible, ou utilisez la commande la plus rapide, qui prend tous les .lnk sous C:\Users.

Velociraptor : artefact Windows.Triage.Targets (projet Velociraptor Triage) avec LNKFilesAndJumpLists

Depuis l'interface du serveur (New collection) ou un collecteur hors ligne (Server Artifacts → Build offline collector), choisissez cet artefact, cochez la cible LNKFilesAndJumpLists, puis déposez le ZIP de collecte tel quel : les chemins uploads/auto/C%3A/… de Velociraptor sont décodés.

Anciennes versions de Velociraptor : auparavant Windows.KapeFiles.Targets, en ligne de commande

velociraptor.exe artifacts collect Windows.KapeFiles.Targets --args LnkFilesAndJumpLists=Y --output C:\triage\lnk-velociraptor.zip

Déposez le ZIP produit tel quel.

Windows : montez l'image E01 ou brute en lecture seule (FTK Imager › File › Image Mounting, ou Arsenal Image Mounter), puis lancez sur sa lettre de lecteur

robocopy E:\Users C:\triage\lnk\Users *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
robocopy "E:\ProgramData\Microsoft\Windows\Start Menu" "C:\triage\lnk\ProgramData\Microsoft\Windows\Start Menu" *.lnk /S /B /XJ /R:0 /W:0 /NFL /NDL
tar -a -cf C:\triage\lnk.zip -C C:\triage lnk

Remplacez E: par la lettre de la partition Windows montée, puis déposez C:\triage\lnk.zip.

Linux / macOS : partition Windows montée en lecture seule sur /mnt/windows

cd /mnt/windows && find Users ProgramData/Microsoft/Windows -iname '*.lnk' | zip ~/lnk.zip -@

Déposez ~/lnk.zip. Sur une image XP, les profils sont sous Documents and Settings : mettez ce dossier dans la commande find à la place de Users ProgramData/….

Fichiers ordinaires, non verrouillés : tous les emplacements sont sous C:\Users\<user>\ ou C:\ProgramData\. AppData est masqué : collez le chemin dans la barre d'adresse de l'Explorateur.

• Éléments récentsVista+%APPDATA%\Microsoft\Windows\Recent\
• Récents Office%APPDATA%\Microsoft\Office\Recent\
• Bureau (utilisateur)%USERPROFILE%\Desktop\
• Démarrage (utilisateur)%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\
• Démarrage (tous)%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp\
• Barre des tâches épingléeWin 7+%APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\
• Éléments récentsXPC:\Documents and Settings\<user>\Recent\

Déposez-les ensemble, en dossier complet ou en ZIP, et gardez l'arborescence Users\<user>\… : c'est elle qui donne l'utilisateur et l'emplacement de chaque raccourci.

À collecter en plus : la $MFT enregistre les dates de création/modification propres à chaque .lnk pour votre chronologie, et les jump lists (Recent\AutomaticDestinations, Recent\CustomDestinations) contiennent des flux LNK : utilisez le parseur de jump lists

Liste complète des emplacements .lnk ↓