Où se trouve la Corbeille sur le disque sous Windows ?

La Corbeille du bureau est un espace de noms shell, pas un vrai dossier. Sur disque, les artefacts vivent à la racine de chaque volume NTFS, cachés derrière deux attributs qui empêchent la plupart des utilisateurs (et un nombre déprimant de scripts de triage) de les remarquer.

Les chemins réels

C:\$Recycle.Bin\
D:\$Recycle.Bin\
E:\$Recycle.Bin\

Un par volume fixe. Les volumes fixes FAT32 et exFAT reçoivent aussi un $Recycle.Bin, mais sans permissions NTFS il n'y a pas de séparation par ACL entre utilisateurs, et rattacher une entrée à un utilisateur est moins fiable. Le vrai angle mort, ce sont les supports amovibles (clés USB, cartes SD) : Windows y contourne la Corbeille par défaut et les suppressions vont directement à l'espace libre. C'est l'une des manœuvres anti-forensiques les plus faciles sur Windows : copier votre exfiltration sur une clé USB, supprimer, rendre la clé.

Les systèmes antérieurs à Vista utilisaient une disposition différente : C:\RECYCLER\ sur NTFS, C:\RECYCLED\ sur FAT. À l'intérieur, l'index INFO2 enregistrait le même type de métadonnées que le $I aujourd'hui, mais en tant que fichier unique et non par entrée. Si vous traitez une affaire Windows XP / 2000 (cela arrive encore pour les hôtes SCADA hérités), ne cherchez pas de $I.

Pourquoi vous ne pouvez pas le voir

$Recycle.Bin a les attributs Caché et Système. L'Explorateur Windows masque par défaut Caché et refuse d'afficher Système tant que vous ne désactivez pas aussi "Masquer les fichiers protégés du système d'exploitation". Depuis une invite de commandes :

dir /a C:\$Recycle.Bin

…l'affiche indépendamment des réglages d'attributs. PowerShell :

Get-ChildItem -Force C:\$Recycle.Bin

À l'intérieur, vous trouvez un sous-dossier par utilisateur, nommé d'après son SID. Voir les sous-dossiers SID de la Corbeille pour la lecture du format SID.

Acquérir les fichiers

Pour l'investigation, vous voulez chaque $Recycle.Bin de chaque volume, y compris les disques externes attachés pendant la fenêtre pertinente.

1. Image forensique (E01, raw, AFF4). La voie la plus propre. Montez en lecture seule et copiez l'arborescence.
2. KAPE. La cible RecycleBin extrait chaque paire $I/$R à travers les volumes, y compris celles aux handles verrouillés.
3. Velociraptor. Collectez Windows.Triage.Targets (ou l'ancien Windows.KapeFiles.Targets) avec la cible RecycleBin pour extraire les mêmes paires $I/$R sur une flotte d'hôtes. Évitez Windows.Forensics.RecycleBin ici : il analyse les $I sur le poste et ne remonte jamais les fichiers $I eux-mêmes (avec AlsoUpload, il ne remonte que le contenu $R renommé d'après le fichier d'origine), il ne reste donc rien à apparier.
4. Volume Shadow Copy. Utile pour un hôte en direct quand vous ne voulez pas imager le disque entier. Un instantané expose la Corbeille même quand les fichiers sont verrouillés.

Une erreur fréquente : extraire les fichiers $I sans les $R correspondants. Même si vous ne comptez lire que les métadonnées $I, avoir le partenaire $R permet de vérifier le contenu supprimé contre la taille enregistrée et de récupérer le fichier au besoin.

Pour aller plus loin

• Qu'est-ce que la Corbeille Windows ?
• Les sous-dossiers SID de la Corbeille expliqués
• Le format de fichier $I (v1 et v2)