Как очистка базы ShellBags поможет удалить скрытую историю работы с папками и флешками

То, что настройки Windows распределены по категориям, не означает, что каждая из настроек существует сама по себе. Многие параметры тесно связаны между собой. Например, отвечающая за память Проводника и визуальные настройки папок функция ShellBags тесно связана связана с конфиденциальностью. О ее значении и практической пользе для рядового пользователя читайте в этой статье.

Что такое ShellBags

ShellBags — это механизм кэширования, используемый для хранения настроек отображения каталогов в Проводнике.

Но с точки зрения безопасности — это журнал активности пользователя, который может быть интересен OSINT-специалистам. Анализ его записей позволяет определить, когда пользователь создавал и удалял обычные и/или сетевые папки, подключал флеш-накопители и в каком именно порядке.

Зная, где хранятся такие данные, вы можете очистить историю работы с каталогами — например, на корпоративном компьютере.

Как удалить записи ShellBags

Есть два способа удалить сохраненные ShellBags метаданные: вручную через редактор реестра и с помощью специальных утилит.

Мы рекомендуем второй вариант, поскольку первый, хоть и выглядит простым, вызовет у пользователя трудности. Он рассчитан не на точечную, а на массовую очистку.

Чтобы ее выполнить, нужно открыть редактор реестра (regedit) удалить подразделы Bags и BagMRU в следующих ключах:

HKCU\Software\Microsoft\Windows\Shell

HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell

Результат — чистая история работы с папками и восстановление их настроек по умолчанию.

Утилита ShellBag AnalyZer & Cleaner

Для точечной очистки лучше использовать бесплатную утилиту Shellbag Analyzer & Cleaner.

Она бесплатна, не требует установки может запускаться с флешки.

Служит она для получения информации об активности юзера в Проводнике, но с тем же успехом ее можно использовать для ее очистки.

Shellbag Analyzer & Cleaner умеет:

• Находить пути посещенных и удаленных папок.
• Определять дату создания, модификации и доступа.
• Определять тип каталога (сетевая, локальная, ZIP-архив или внешнее устройство).
• Показывать связанный ключ реестра и номер слота (ID).
• Определять координаты окон Проводника.
• Сортировать и выборочно удалять записи истории.

Отключение ShellBags

Если вы склоняетесь к первому варианту и готовы пойти на компромиссы, чтобы не прибегать к очистке регулярно, ShellBags можно отключить.

Для этого очистите содержимое подразделов Bags и BagMRU в указанных выше ключах реестра, затем создайте в них параметр типа DWORD с именем BagMRU Size и задайте для него значение 1.

О каких компромиссах идет речь?

После отключения ShellBags все настройки отображения папок — включая вид и ширину столбцов в Проводнике — будут каждый раз сбрасываться к значениям по умолчанию при любом изменении.