Artefakt
Papperskorgen ($Recycle.Bin - $I/$R)
Windows papperskorg sparar raderade filer som $R-filer (innehåll) och $I-filer (ursprunglig sökväg, filstorlek och raderingstidpunkt).
🔬 Forensisk Betydelse & Utredningsmetodik
Kopplar en specifik användares SID till en raderad fil och ger exakt bevis på manuell radering kontra automatiserad skriptrensning.
⚙️ Tekniska Parametrar & Verktygsstöd
- Filsystemsplacering (på undersökt media):
\$Recycle.Bin\<User-SID>\$I* & $R* (Rotkatalog på undersökt NTFS-volym) - Forensiska verktyg: RBCmd Autopsy ↗