A45 – Account: profielmap openen via alle Windows-forensics-technieken
A45 – Account: profielmap openen via alle Windows-forensics-technieken
Windows laat overal sporen achter van profielmappen: in logs, registry-hives,
shellbags, jump-lists, recente bestanden, NTUSER.DAT, prefetch, en meer.
Dit onderdeel bundelt ALLE forensics-methoden om profielpaden te vinden of openen.
Stap 1 – Profielmap vinden via NTUSER.DAT
Locatie:
C:\Users\ACCOUNTNAAM\NTUSER.DAT
NTUSER.DAT bevat:
• Shell-instellingen
• Recent geopende paden
• User-specific registry keys
Profielmap openen:
C:\Users\ACCOUNTNAAM
Stap 2 – Profielmap vinden via USRCLASS.DAT
Locatie:
C:\Users\ACCOUNTNAAM\AppData\Local\Microsoft\Windows\USRCLASS.DAT
Bevat:
• Shellbags
• Folder views
• Recent geopende mappen
Shellbags tonen exacte paden:
C:\Users\ACCOUNTNAAM\Documents
C:\Users\ACCOUNTNAAM\Desktop
Stap 3 – Profielmap vinden via Shellbags (forensics)
Shellbags worden opgeslagen in:
• NTUSER.DAT
• USRCLASS.DAT
Ze tonen:
• Welke profielsubmappen zijn geopend
• Wanneer ze zijn geopend
• Hoe ze eruit zagen
Profielmap openen:
C:\Users\ACCOUNTNAAM
Stap 4 – Profielmap vinden via Jump Lists
Jump Lists staan in:
C:\Users\ACCOUNTNAAM\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations
Bestanden:
• *.automaticDestinations-ms
Bevatten:
• Recente mappen
• Recente profielsubmappen
Stap 5 – Profielmap vinden via Recent Items
Locatie:
C:\Users\ACCOUNTNAAM\AppData\Roaming\Microsoft\Windows\Recent
Bevat:
• LNK-bestanden
• Directe verwijzingen naar profielpaden
Voorbeelden:
C:\Users\ACCOUNTNAAM\Documents
C:\Users\ACCOUNTNAAM\Downloads
Stap 6 – Profielmap vinden via Prefetch
Locatie:
C:\Windows\Prefetch
Programma’s die profielmappen openen (bijv. explorer.exe) bevatten paden:
C:\Users\ACCOUNTNAAM\...
Stap 7 – Profielmap vinden via Amcache
Locatie:
C:\Windows\AppCompat\Programs\Amcache.hve
Bevat:
• Programma’s die bestanden in profielmap hebben geopend
• Paden naar profielsubmappen
Stap 8 – Profielmap vinden via Shimcache (AppCompatCache)
Locatie:
SYSTEM-hive
Bevat:
• Programma’s die bestanden in profielmap hebben gebruikt
Stap 9 – Profielmap vinden via MFT (Master File Table)
Met forensics-tools:
• Zoek naar paden:
C:\Users\ACCOUNTNAAM
• MFT bevat alle bestandsnamen, ook verwijderde
Stap 10 – Profielmap vinden via $LogFile
NTFS-logbestand bevat:
• Bestandsoperaties in profielmap
• Aanmaak/verwijdering van bestanden
Stap 11 – Profielmap vinden via $UsnJrnl
Locatie:
C:\$Extend\$UsnJrnl
Bevat:
• Alle wijzigingen in profielmap
• Tijdstempels
• Bestandsnamen
Stap 12 – Profielmap vinden via Registry-hives
1. NTUSER.DAT
2. USRCLASS.DAT
3. SOFTWARE
4. SYSTEM
Zoek naar:
C:\Users\ACCOUNTNAAM
Stap 13 – Profielmap vinden via Event Logs (forensics)
1. eventvwr.msc
2. Zoek:
• ProfSvc
• Logon events
• NTUSER-fouten
3. Noteer profielpad
Stap 14 – Profielmap vinden via Windows Timeline (ActivityCache)
Locatie:
C:\Users\ACCOUNTNAAM\AppData\Local\ConnectedDevicesPlatform\ActivityCache.db
Bevat:
• Recent geopende bestanden
• Paden naar profielsubmappen
Stap 15 – Profielmap vinden via Thumbnail Cache
Locatie:
C:\Users\ACCOUNTNAAM\AppData\Local\Microsoft\Windows\Explorer
Bevat thumbnails van:
• Documenten
• Afbeeldingen
• Mappen in profielmap
Stap 16 – Profielmap vinden via LNK-bestanden
LNK-bestanden bevatten absolute paden:
C:\Users\ACCOUNTNAAM\...
Stap 17 – Profielmap vinden via Browser-forensics
Browsers slaan downloads op:
C:\Users\ACCOUNTNAAM\Downloads
Bevat:
• Downloadgeschiedenis
• Bestandslocaties
Stap 18 – Profielmap openen via forensics-tools
Tools zoals:
• FTK Imager
• Autopsy
• X-Ways
• Registry Explorer
Kunnen direct openen:
C:\Users\ACCOUNTNAAM
Stap 19 – Waarom dit handig is
• Je kunt profielmappen vinden die verwijderd of verborgen zijn
• Forensics toont ALLE sporen van profielactiviteit
• Ideaal voor herstel, troubleshooting, migratie en analyse
• Werkt voor ingelogde én niet-ingelogde accounts
• NTUSER, USRCLASS en Shellbags geven exacte paden
Stap 20 – Let op
• Forensics-tools vereisen vaak Administratorrechten
• Sommige artefacten zijn verborgen of vergrendeld
• Profielmapnaam verandert NIET automatisch bij het wijzigen van de accountnaam
• Voor profielmap hernoemen gebruik je:
A53 – Profielmap hernoemen (methode 1)
A54 – Profielmap hernoemen (methode 2)
Terug naar Index A:
A01 – Index A
Jacks pc oplossingen is gemaakt in samenwerking met Microsoft Copilot.