Windows Jump Lists
| Format | Windows Jump Lists |
|---|---|
| Kurzname | Jump List |
| Kategorie | execution |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Listen zuletzt und häufig verwendeter Elemente pro Anwendung, über eine AppID zugeordnet, gespeichert unter %APPDATA%\Microsoft\Windows\Recent\ in AutomaticDestinations und CustomDestinations. AutomaticDestinations-ms-Dateien sind OLE Compound Files mit einem LNK-Stream pro Element und einem DestList-Stream mit Zugriffszählern, letzten Zugriffszeiten, Anheftstatus und dem Hostnamen. CustomDestinations-ms-Dateien enthalten Kategorien von LNK-Datensätzen, die von der Anwendung angeheftet oder bereitgestellt werden, abgeschlossen durch eine Footer-Signatur. Sie bleiben erhalten, wenn die referenzierten Dateien nicht mehr existieren.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | D0 CF 11 E0 A1 B1 1A E1 | ........ | Signatur eines OLE Compound File (AutomaticDestinations-ms); mit denselben Bytes beginnt jedes OLE Compound File |
| Offset unbekannt | AB FB BF BA | .... | Footer-Signatur 0xBABFFBAB von CustomDestinations-ms am Dateiende |
Bekannte Dateiendungen
.automaticdestinations-ms, .customdestinations-ms
Referenzen
- Jump lists format (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/Jump%20lists%20format.asciidoc
- ForensicsWiki — Jump lists https://forensics.wiki/jump_lists/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Jump Lists“. https://kalink0.github.io/crush-forensics/formats/de/jump-list/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden