Windows Recycle Bin ($I files)
| Format | Windows Recycle Bin ($I files) |
|---|---|
| Kurzname | $I |
| Kategorie | Dateisystem |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Für jede in den Papierkorb verschobene Datei (ab Windows Vista) enthält $Recycle.Bin\<SID>\ eine $R-Datei mit dem Inhalt und eine $I-Datei mit ursprünglichem Pfad, Größe und Löschzeitpunkt. Version 2 (ab Windows 10) speichert die Pfadlänge, Version 1 einen Pfad fester Länge von 520 Bytes. Der Header ist nur eine Versionsnummer, keine Signatur.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- Windows Recycle.Bin file formats (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/Windows%20Recycle.Bin%20file%20formats.asciidoc
- Forensic Analysis of the Microsoft Windows Vista Recycle Bin (Mitchell Machor, Forensic Focus, 2008) https://www.forensicfocus.com/articles/forensic-analysis-of-the-microsoft-windows-vista-recycle-bin/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Recycle Bin ($I files)“. https://kalink0.github.io/crush-forensics/formats/de/i/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden