ShellBag Analizi

Temmuz 13, 2022 Muhammed AYGÜN

ShellBag Analizi

Microsoft Windows Explorer aracılığıyla, görüntülediğinde bir klasör penceresinin görünümlerini, boyutlarını ve konumlarını izlemeye yardımcı olur buna ağ klasörleri ve çıkarılabilir cihazlar dahildir. Yani Windows ekranını başka bir yere taşıdığımızda, boyutunu değiştirdiğimizde, içindeki dosya sıralamasını yaptıktan sonra bir daha hatırlamasında Shellbag yardımcı olur. Belirli bir klasörün penceresinin konumu, görünümü veya boyutunun adli analiz için neden önemli olduğu kafamızda soru işareti olarak kalabilir. Bu özellikler bir analiz için fazla değerli olmasa da, Windows bu özellikleri registry saklarken bir dizi ek yapı oluşturur ve analizi gerçekleştiren kişiye klasöre şüphelini göz atma geçmişine ve herhangi bir klasöre ilişkin ayrıntılara ilişkin ayrıntılı bilgi verir. Shellbag analizi sayesinde, Silinmiş klasörlerin bilgisini bulabiliriz. Kullanıcının hangi klasörle eriştiğini, Klasörlere ait zaman damgalarının bilgisine, ulaşabiliriz.

ShellBag'ler, Windows explorer kullandığınızda klasörlerin boyutunu, simgesini, görünümünü ve konumunu kaydetmek ve depolamak için Windows'un kullandığı bir kayıt defteri anahtarı biçimidir.

Bir kullanıcı klasör görünümünde simgeler ayarlarını büyük simge yaparsa, ayrıntıları değiştirirse, ayarların ShellBag’de depolanacağı anlamına gelir. Bir kullanıcı, Windows grafik arabirimindeki klasörlerin görünüm modunu veya konumunu değiştirdiğinde, Windows, "ShelBags" olarak bilinen Windows Kayıt Defteri anahtarlarındaki bilgileri hatırladığından, yeni görünüm kullanılabilir durumda kalır. Windows explorer’da kullanımı genellikle yalnızca yerel makinedeki klasörleri değil, aynı zamanda ağdaki veya USB diskler veya flash sürücüler gibi çıkarılabilir aygıtlardaki klasörleri de içeren veritabanlarına kaydedilir yani silindikten sonra bile dizinler hakkındaki bilgileri koruyan bu ShellBag'lerdir.

Shellbags artifacklerin lokasyonu;

(HKEY_CURRENT_USER) NTUSER.DAT\Software\Microsoft\Windows\Shell\BagMRU

NTUSER.DAT\Software\Microsoft\Windows\Shell\Bags

Shellbags artifact’ler ayrıca, UsrClass.dat hive dosyasındaki aşağıdaki lokasyonda bulunur;

(HKEY_CLASSES_ROOT) USRCLASS.DAT\Local Settings\Software\Microsoft\Windows\Shell\BagMRU

USRCLASS.DAT\Local Settings\Software\Microsoft\Windows\Shell\Bags

ShellBag Analizi

BagMRUkey, birden fazla subkey içerir. Bu subkeyler Windows Explorer aracılığıyla erişilen klasörlerin dizin yapılarını gösterir. BagMRU key kendisi Masaüstü temsil eder; ancak subkey geri kalanı belirli bir klasöre atanmaz, bunun erine klasörlere erişilen hiyerarşiye göre yapılandırır.

BagMRU anahtarı da dahil olmak üzere bu numaralandırılmış alt anahtarların her biri aşağıdaki değerleri içerir:

MRUListEx: bu değer, geçerli anahtar içindeki her alt klasöre en son erişildiği sırayı gösterir.

NodeSlot: bu değer, o belirli klasör için görünüm ayarlarını içeren bag key’e karşılık gelir.

NodeSlots: Bu değer yalnızca BagMRU anahtarında bulunur ve yeni Shellbag oluşturulduğunda güncellenir.

Bags key yapılan özelleştirmeler ise bu dosya içerisine kaydedilmektedir. subkey her biri, görünüm ayarlarını (görüntüleme modu, boyut, konum) BagMRU anahtarının altında saklar.

Shellbag analizini Registry editor, Regribber, Registry Explorer, ShelBag Explorer araçların herhangi birini kullanarak analiz edebiliriz. Ben bu blog yazımda Windows’ta default olarak gelen Windows Registry Editor ve Shellbag Explorer araçlarını kullanarak analiz edeceğim.

Registry Editör ile;

Registry Explorer; EZ araçları olarak geçmektedir ücretsiz kullanabileceğimiz bir tooldur. Shellbag Explorer hem CLI hem GUI kullanım özelliği mevcuttur.

İlk olarak CLI tool yardımıyla bir shellbag parse edelim.

İlk olarak cmd.exe’yi administrator olarak açıyoruz ve SBECmd.exe nin bulunduğu konuma gidiyoruz.

SBECmd.exe yazıp çalıştırıyoruz.

Görüldüğü gibi araç hakkın ve kullanılan parametreler hakkında bilgileri görebiliyoruz.

Live bir sistem üzerinde analiz etmek –l parameteresini kullanıyorum

SBECmd.exe -l --csv .\muhammed

Komutunu yazıyorum

-l : live sistemin shellbag parse etmek için

--csv : parse etmek istediğimiz format ve dosya yolunu belirliyoruz.

Parse işlemi tamamlandıktan sonra

Karşımıza dosyaları çıkıyor. Txt dosyasında command line da yazan bilgileri görebiliyoruz.

Csv dosyasında 502 tane shelbag outputlarını parse ettiğini ögrebiliyoruz.

ShellBagsExplorer aracını kullanmak çok daha kolay ve güzel bir ara yüz bize sunmaktadır. Çift tıklayarak çalıştırdıktan sonra file kısmında live bir sistem üzerinden mi yoksa offline yani triyajı alınmış bir sistem üzerinde mi analiz yapacağımızı programa belirtiyoruz.