Windowsシステム中

RecentDocs

Explorer tracks recently opened files per extension in HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs, including files on removed storage.

artifact_type: recent

保存場所

標準的なファイルシステムパスとレジストリ上の場所です。

$HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs

フォレンジック上の重要性

このアーティファクトが決定的な証拠になりやすい代表的な調査シナリオです。

Reconstructing file access history on removed USB drives
Document exfiltration — which confidential files were opened
Insider threat timeline

MITRE ATT&CKマッピング

このアーティファクトが検知や裏付けに役立つ可能性のある技術です。

T1083

解析に使えるツール

このアーティファクトの解析でよく使われるunJaena AIおよびDFIRツールです。

unJaena AI

RegRipper

Registry Explorer

関連アーティファクト

Windows

Shell Bags

Windows Explorer view preferences recorded per-folder in UsrClass.dat. Shell Bags prove a user navigated to a folder, even after the folder or attached volume is long gone.

Windows

Amcache.hve

Compatibility database introduced in Windows 8 that records every PE file executed on the system, including SHA-1 hash, full path, publisher, and first-seen timestamp.

Windows

UserAssist

Per-user registry key recording GUI-launched programs with ROT13-obfuscated paths, focus count, and last execution time — proving interactive user execution of a binary.

Windows

MUICache

Per-user cache of application display names written the first time a binary runs. Every entry is evidence that the user ran that binary at least once.

アーティファクト解析を手作業で終わらせない

unJaena AIはディスクイメージ、ライブレスポンス出力、モバイルバックアップを取り込み、このページのアーティファクトと200件以上の追加項目を自動で関連付け、調査に使えるタイムラインへ整理します。

unJaena AIを試す →