Em um ambiente Windows que havia sido comprometido, um perito forense precisava verificar quais pastas foram acessadas por um determinado usuário. Essa informação pode ser obtida por meio de ferramentas forenses que analisam
- A)SAM (Security Account Manager).
A SAM armazena informações de contas locais e credenciais, não histórico de pastas acessadas.
- B)NTFS.
NTFS é o sistema de arquivos do Windows e pode gerar artefatos forenses, mas a pista específica sobre pastas acessadas vem dos Shellbags.
- C)Active Directory.
Active Directory é um serviço de diretório de rede, voltado a usuários e objetos do domínio, não ao histórico de navegação em pastas locais.
- D)Shellbags.
Shellbags registram informações sobre pastas acessadas no Explorer, sendo um artefato clássico para verificar o uso de diretórios por um usuário.
- E)DLLs.
DLLs são bibliotecas dinâmicas usadas por programas, não uma fonte típica para identificar quais pastas o usuário acessou.
Gabarito: D
Quando um perito quer saber quais pastas um usuário abriu em um Windows comprometido, ele costuma procurar vestígios de navegação no próprio perfil do usuário. Um dos registros mais úteis para isso são os Shellbags, que guardam informações sobre pastas acessadas no Explorer, como exibição, ordenação e até caminhos de diretórios já visitados. É quase como se o Windows deixasse pequenos bilhetes dizendo: "por aqui você passou". Esses artefatos são muito usados em informática forense porque podem indicar acesso a pastas mesmo quando a pasta já foi apagada ou não há outro registro óbvio. Por isso, em perícias de Windows, Shellbags ajudam a reconstruir a movimentação do usuário dentro do sistema, especialmente no contexto de investigação de uso local de pastas e diretórios. O gabarito é a letra D porque é exatamente esse tipo de dado que os Shellbags revelam. Eles são artefatos ligados ao Explorer e ao registro do Windows, permitindo inferir quais pastas foram abertas ou visualizadas pelo usuário. Não há uma base legal específica para o conceito técnico de Shellbags, mas, em perícia digital, a lógica é sempre a mesma: buscar artefatos residuais confiáveis que ajudem a reconstituir a atividade do usuário. É o típico cenário em que o sistema "fala baixinho", e o perito precisa ouvir.