# Explorer les Artefacts

## 📁 Fichiers de Pré lecture&#x20;

Les programmes sous Windows stockent des informations pour un accès rapide, appelées fichiers de pré lecture, dans le dossier `C:\Windows\Prefetch`. Ces fichiers `.pf` contiennent les détails sur l'exécution des applications, y compris les fichiers utilisés.

#### 🔍 **Détails sur les Fichiers Prefetch**

* **Heures d'exécution des applications**
* **Fréquence d'utilisation des applications**
* **Fichiers et descripteurs de périphérique utilisés**

## 💻 Utilisation de Prefetch Parser (PECmd.exe)

Pour analyser ces fichiers, utilisez [**PECmd.exe**](https://github.com/EricZimmerman/PECmd) et spécifiez le chemin vers le fichier **Prefetch** ou le dossier pour extraire les données.

*   **Pour exécuter Prefetch Parser sur un fichier et sauvegarder les résultats en CSV, utilisez cette commande :**

    ```css
    PECmd.exe -f <path-to-Prefetch-files> --csv <path-to-save-csv>
    ```
*   **De même, pour analyser un répertoire entier, utilisez cette commande :**

    ```css
    PECmd.exe -d <path-to-Prefetch-directory> --csv <path-to-save-csv>

    ```

Exemple :

<figure><img src="https://2405813983-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FY9Ji0LMTnIq0SKF8JfQn%2Fuploads%2F6MbiNmGyIdhDNeJzs9U5%2F2024-04-26_15-13.png?alt=media&#x26;token=b49d80c2-f2e6-4489-8ffc-104a4508659c" alt=""><figcaption></figcaption></figure>

## 📊 Chronologie de Windows 10

Windows 10 enregistre les applications et fichiers récemment utilisés dans la base de données **SQLite** "Chronologie Windows 10". Cette base de données contient des informations sur les programmes exécutés et l'heure d'utilisation.

#### 🗓️ **Données de Chronologie**

* **Applications exécutées**
* **Heures d'utilisation des applications**

## 🔍 Analyse avec WxTCmd.exe

Utilisez [**WxTCmd.exe**](https://github.com/EricZimmerman/WxTCmd) pour analyser la Chronologie Windows 10. Spécifiez le fichier de la chronologie et le chemin pour enregistrer les résultats CSV. La chronologie de Windows 10 peut être trouvée à l'emplacement suivant :  `C:\Users<username>\AppData\Local\ConnectedDevicesPlatform{randomfolder}\ActivitiesCache.db`

*   **Pour exécuter WxTCmd :**

    ```css
    WxTCmd.exe -f <path-to-timeline-file> --csv <path-to-save-csv>
    ```

Exemple :&#x20;

<figure><img src="https://2405813983-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FY9Ji0LMTnIq0SKF8JfQn%2Fuploads%2Fa3dd0Rs0RupIgiPigppl%2F2024-04-26_15-14.png?alt=media&#x26;token=19cebb16-9937-42f7-903f-194e03fbd76a" alt=""><figcaption></figcaption></figure>

## 📝 Raccourcis

### 👉 Listes de Raccourcis Windows

Windows a introduit des listes de raccourcis pour aider les utilisateurs à accéder directement aux fichiers récemment utilisés à partir de la barre des tâches. Ces données sont stockées dans le répertoire suivant:&#x20;

`C:\Users<username>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations`



📂 **Informations sur les Raccourcis**

* **Applications exécutées**
* **Première et dernière heure d'exécution**

### 🔍 Analyse avec JLECmd.exe

[**JLECmd.exe**](https://github.com/EricZimmerman/JLECmd) est utilisé pour analyser les listes de raccourcis. Spécifiez le fichier de la liste de raccourcis et le chemin pour enregistrer les résultats CSV.

*   **Pour analyser les Jumplists à l'aide de JLECmd.exe :**

    ```css
    JLECmd.exe -f <path-to-Jumplist-file> --csv <path-to-save-csv>
    ```

Exemple :&#x20;

<figure><img src="https://2405813983-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FY9Ji0LMTnIq0SKF8JfQn%2Fuploads%2FfiO4f6viCZ0wtA8owoWe%2F2024-04-26_15-14_1.png?alt=media&#x26;token=70005d7c-3bb6-4048-b4e5-2a3089e32d2b" alt=""><figcaption></figcaption></figure>

## 📁 Fichiers de Raccourci

Windows crée un fichier de raccourci pour chaque fichier ouvert localement ou à distance. Ces fichiers contiennent des informations sur la première et la dernière heure d'ouverture du fichier, le chemin du fichier ouvert, et d'autres données.

### 🔍 **Analyse avec** [**LECmd.exe**](https://github.com/EricZimmerman/LECmd) **(Lnk Explorer)**

*   **Pour analyser les fichiers de raccourci :**

    ```css
    LECmd.exe -f <path-to-shortcut-files> --csv <path-to-save-csv>
    ```
* **Date de création du fichier de raccourci :** indique la première ouverture du fichier.
* **Date de modification du fichier de raccourci :** indique la dernière consultation du fichier.

## 📜 Historique IE/Edge

L'historique de navigation d'**IE/Edge** inclut les fichiers ouverts dans le système, qu'ils aient été ouverts via le navigateur ou non. Cela constitue une source précieuse d'informations sur les fichiers ouverts dans un système.

*   **Emplacement de l'historique IE/Edge :**

    ```makefile
    C:\Users\<username>\AppData\Local\Microsoft\Windows\WebCache\WebCacheV*.dat
    ```

## &#x20;🐶 Analyse avec Autopsy

Utilisez [**Autopsy**](https://www.autopsy.com/) pour analyser l'historique IE/Edge. Sélectionnez Fichiers logiques comme source de données, puis choisissez le chemin à analyser. Sélectionnez uniquement le module "Activité récente" pour traiter les données.

* **Affichage des fichiers consultés :** Consultez l'option "Historique Web" dans le panneau de gauche.
* **Détails des fichiers :** L'onglet "Artefacts de données" affiche des informations sur les fichiers consultés.

Vous pouvez voir la documentation de **Autopsy** [**ici**](../outils/autopsy) !&#x20;

## 🔑 USB

{% hint style="info" %}
Les fichiers de raccourci peuvent parfois nous fournir des informations sur les périphériques USB connectés. Il peut nous fournir des informations sur le nom, le type et le numéro de série du volume.
{% endhint %}

### &#x20;📝 Setupapi

Lorsqu'un nouveau périphérique est connecté à un système, les informations relatives à la configuration de ce périphérique sont stockées dans le `setupapi.dev.log.`

* **Chemin** : `C:\Windows\inf\setupapi.dev.log`
* **Contenu** : Contient des informations de configuration sur les périphériques USB, y compris le numéro de série et les horodatages de connexion.

**Exemple de Contenu :**&#x20;

<figure><img src="https://2405813983-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FY9Ji0LMTnIq0SKF8JfQn%2Fuploads%2FLz4hRi1uB3HrTkAQWVH9%2F2024-04-26_15-37.png?alt=media&#x26;token=47401827-96c2-4fa7-8c09-a2855620326b" alt=""><figcaption></figcaption></figure>

### Conclusion

Utilisez les outils mentionnés pour analyser les artefacts Windows et extraire des informations cruciales pour l'analyse médico-légale. Ensuite, utilisez [**EZviewer**](https://www.sans.org/tools/ezviewer/) pour visualiser les résultats CSV si nécessaire.
