最近開いたファイルを調査しよう！【Shortcut Files編】

こんにちは、ぎんたです。

IT・フォレンジック・セキュリティアナリスト関連業務を8年ほどやっております。

• 前回記事でRecent Filesについて解説していたけど、他にも同じように最近開いたファイルを確認できるアーティファクトはあるのかな？
• インシデント調査に有用そうだから、他にも解析できそうなアーティファクトがあれば教えて？

ファイル操作に関するWindowsのアーティファクトは複数あります。

今回は、そのうちの一つであるショートカットファイルを解析して端末上で開かれたファイルを調査する方法について解説していきます。

Shortcut Filesの内容と解析対象の場所

Windowsは、ローカルまたはリモートで開いた各ファイルに対してショートカットファイルを作成します。

Windowsではファイルを作成したり開いたりすると、このような「.lnk」と拡張子が付いたショートカットファイルを作成する仕組みになっています。

ショートカットファイルを解析することで、

の情報を確認できます。

ショートカットファイルは、次の場所にあります。

このアーティファクトを解析するツールですが、今回はEricZimmerman氏のツールにある「LECmd」を紹介します。

このツールは無料で公開されており、以下のリンクからダウンロードできます。

「Eric Zimmerman’s toolsのダウンロードサイト」

LECmdを使ったShortcut Filesの解析

LECｍdでは、次のコマンドでショートカットファイルを解析することができます。

LECmd.exe -d <ショートカットファイルのディレクトリ> –csv <csvファイルの出力先>

コマンドプロンプトで実行した状況

解析した結果は、csvファイルとして保存されます。

解析結果のcsvファイルをExcelで開くと以下のようになります。

黄色でハイライトした３つのファイルを確認すると、

ということが分かりますね。

まとめ

今回は、ショートカットファイルを解析して端末上で開かれたファイルを調査する方法について解説しました。

以下の記事でも類似したアーティファクトについて解説しています。

以上、ぎんたでした。