Analyseur de fichiers $I de la Corbeille Windows
Déposez des fichiers $I et $R — ou tout un dossier $Recycle.Bin — ci-dessous. Tout est analysé et récupéré localement dans votre navigateur via WebAssembly ; aucun fichier ne quitte votre machine.
- $I v1 et v2
- Appariement $R
- ZIP KAPE / Velociraptor
- Fonctionne hors ligne
L’exemple est une $Recycle.Bin synthétique issue d’une intrusion fictive — aucune donnée réelle. Astuce : cliquez sur une date de suppression pour voir ce qui a été supprimé à ±1 min.
Prend en charge $I v1 (Vista–8.1) et v2 (Windows 10/11). Chaque $I est associé à son $R pour récupérer le fichier supprimé sous son nom d’origine. Les collectes ZIP (KAPE, Velociraptor…) sont décompressées dans le navigateur. Les dossiers supprimés sont récupérés en ZIP.
Chargement de l'analyseur…
Comment récupérer vos données
D’un poste Windows en ligne aux résultats analysés en deux minutes environ — rien à installer.
- Collectez $Recycle.Bin
- Déposez le dossier ou le ZIP ici
- Tout reste dans votre navigateur
Ouvrez PowerShell en tant qu’administrateur sur le poste (Windows 10 1803+ ou 11). Outils intégrés uniquement.
1 · Copier la Corbeille de tous les utilisateurs de C: (le dossier est créé automatiquement)
robocopy 'C:\$Recycle.Bin' 'C:\triage\RecycleBin\C\$Recycle.Bin' /E /B /DCOPY:T /R:0 /W:02 · Facultatif — compresser en ZIP pour la sortir du poste
tar -a -cf C:\triage\RecycleBin.zip -C C:\triage RecycleBinDéposez ensuite le dossier C:\triage\RecycleBin ou C:\triage\RecycleBin.zip ici. $I et $R restent appariés dans leurs dossiers SID : chaque élément est récupérable.
KAPE · cible RecycleBin (collecte $I + $R), à lancer en administrateur depuis le dossier de KAPE
.\kape.exe --tsource C: --tdest C:\triage\kape --target RecycleBinDéposez tout le dossier C:\triage\kape ici — ou compressez-le d’abord, les ZIP sont décompressés dans votre navigateur.
Velociraptor
Collectez l’artefact Windows.Triage.Targets (projet Velociraptor Triage ; anciennement Windows.KapeFiles.Targets) avec la cible RecycleBin, puis déposez tel quel le ZIP de collecte téléchargé. Pas Windows.Forensics.RecycleBin : il analyse les $I sur le poste et ne remonte que le contenu $R renommé d’après le fichier d’origine — plus rien à apparier.
FTK Imager (E01, raw, VHDX…)
File → Add Evidence Item → Image File, dépliez la partition jusqu’à [root], clic droit sur $Recycle.Bin → Export Files…, puis déposez le dossier exporté. Les fichiers .FileSlack de FTK sont ignorés automatiquement.
Autre volume, ou image montée en lecture seule (par ex. Arsenal Image Mounter) — remplacez E: par sa lettre de lecteur dans les deux chemins
robocopy 'E:\$Recycle.Bin' 'C:\triage\RecycleBin\E\$Recycle.Bin' /E /B /DCOPY:T /R:0 /W:0Linux / SIFT · image déjà montée en lecture seule sur /mnt/windows
mkdir -p ~/triage && cp -r '/mnt/windows/$Recycle.Bin' ~/triage/- Métadonnées $I · Windows Vista – 11, un sous-dossier par SID utilisateur
C:\$Recycle.Bin\<SID>\$I* - Contenu $R · même suffixe de 6 caractères que son $I (un dossier si un répertoire a été supprimé)
C:\$Recycle.Bin\<SID>\$R* - Chaque autre volume fixe a sa propre corbeille (D:, E:, disques durs externes…)
<Drive>:\$Recycle.Bin\<SID>\ - Associer un dossier SID à son compte utilisateur · ruche SOFTWARE
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList - Windows XP / 2003 · index INFO2 unique (C:\RECYCLED sur FAT) — non pris en charge par cet outil
C:\RECYCLER\<SID>\INFO2
Déposez-les ensemble : les moitiés $I (métadonnées) et $R (contenu) sont appariées par dossier et suffixe ; déposez donc tout $Recycle.Bin, un dossier SID, ou un ZIP de l’un ou l’autre. Un $I seul donne quand même noms, chemins et dates de suppression.
Pièges
- Lancez en administrateur. Chaque dossier SID n’est lisible que par son propriétaire : sans élévation,
robocopy /Brefuse de s’exécuter et une copie normale ne récupère que votre propre corbeille. - Une corbeille par volume. Répétez pour D:, E:… (voir Image disque). Les clés USB amovibles contournent la Corbeille : rien à y collecter.
- Collectez tôt. Vider la corbeille, le Nettoyage de disque ou l’Assistant Stockage (30 jours par défaut s’il est activé) suppriment $I et $R ensemble. Les dates de suppression sont en UTC.
De la $Recycle.Bin à la preuve en quelques secondes
Tout ce qu’il faut pour trier les fichiers supprimés d’un poste Windows — sans rien installer ni envoyer le moindre octet.
Associe $I et $R automatiquement
Déposez des fichiers isolés, un dossier SID ou toute l’arborescence $Recycle.Bin. Chaque $I est apparié à son contenu $R par suffixe.
Aperçu dans l’application
Images, vidéo, audio, PDF et texte s’affichent dans l’espace de travail. Le reste s’ouvre en hexadécimal — les scripts sont montrés en source, jamais exécutés.
Repère les fichiers renommés
Les magic bytes sont comparés à l’extension d’origine : un exécutable caché derrière un .pdf est signalé immédiatement.
Récupère sous le nom d’origine
Restaurez un fichier ou reconstruisez toute l’arborescence d’origine en ZIP, avec horodatages et manifeste de métadonnées.
Hashs et provenance
SHA-256 pour chaque fichier récupéré, plus HostUrl/ReferrerUrl du Zone.Identifier quand le fichier a été téléchargé.
CSV prêt pour la timeline
Exportez chemin d’origine, taille et date de suppression UTC ISO-8601 pour votre super-timeline ou votre rapport.
Trois étapes, zéro installation
- 01
Collecter
Récupérez $Recycle.Bin depuis un poste, une collecte KAPE ou Velociraptor, ou une image montée.
- 02
Déposer
Glissez fichiers, dossiers ou ZIP sur la page. Le parseur Rust décode $I v1 et v2 localement.
- 03
Prévisualiser et récupérer
Parcourez l’espace plein écran, vérifiez les hashs, prévisualisez et restaurez ce qui compte.
Outils connexes
- MFT ParserLe fichier $R garde son entrée MFT jusqu'au vidage de la corbeille, avec des horodatages à comparer à l'enregistrement $I.
- USN ParserLe journal consigne le renommage vers $Recycle.Bin puis la suppression définitive au vidage de la corbeille.
- LNK ParserLes fichiers LNK pointent souvent encore vers le chemin d'origine d'un fichier envoyé à la corbeille.
Analyseur de Corbeille — FAQ
Qu'est-ce que le dossier $Recycle.Bin sous Windows ?
$Recycle.Bin est le dossier caché et protégé situé à la racine de chaque volume NTFS où Windows (Vista et versions ultérieures) stocke les fichiers supprimés. À l'intérieur, chaque utilisateur dispose d'un sous-dossier nommé d'après son SID, contenant des paires de fichiers de métadonnées $I et de contenu $R.
Qu'est-ce qu'un fichier $I ?
Un fichier $I est l'enregistrement d'index/métadonnées que Windows écrit lorsqu'un fichier est envoyé à la Corbeille. Il stocke le chemin complet d'origine, la taille d'origine en octets et l'horodatage de suppression (un FILETIME Windows). Le fichier $R correspondant contient le contenu réel.
Cet outil envoie-t-il mes fichiers de Corbeille quelque part ?
Non. L'analyse s'exécute entièrement dans votre navigateur via un analyseur Rust compilé en WebAssembly. Les octets ne quittent jamais votre machine et il n'y a aucun point de téléversement — vous pouvez vous déconnecter du réseau et cela fonctionne toujours.
Quelles versions de Windows sont prises en charge ?
Les deux formats $I sont détectés automatiquement : v1 (Windows Vista, 7, 8, 8.1 — disposition fixe de 544 octets) et v2 (Windows 10 et 11 — disposition variable préfixée par la longueur).
Puis-je récupérer le fichier supprimé lui-même ?
Oui, si vous fournissez aussi le fichier $R associé. Le fichier $I ne contient que des métadonnées (chemin d’origine, taille, date de suppression) ; le contenu se trouve dans le fichier $R portant le même suffixe. Déposez les deux — ou tout le dossier $Recycle.Bin / SID — et l’outil les associe et restaure chaque fichier sous son nom d’origine. « Tout récupérer » reconstruit l’arborescence d’origine dans un ZIP et conserve les dates de modification.
Pourquoi la date de suppression est-elle en UTC ?
Windows stocke la date de suppression sous forme de FILETIME en UTC. Le tableau l'affiche dans votre langue tandis que l'export CSV conserve une valeur ISO-8601 UTC stricte afin que les chronologies restent non ambiguës d'un fuseau horaire à l'autre.
Réintégrez les fichiers supprimés dans l’enquête
Gratuit, open source et privé par conception.
Ouvrir des fichiers