ShellBag – un viaggio allucinante nei ricordi di Windows

Cosa sono le ShellBag?

Le ShellBag non sono semplici cartelle, né file visibili: sono veri e propri frammenti di memoria comportamentale del sistema operativo. Ogni volta che apri una cartella con Esplora Risorse, Windows registra dettagli preziosi per ricordare come l’avevi impostata: la vista, la posizione, l’ordine degli elementi.

Ma non si ferma qui: memorizza anche dove si trovava quella cartella, che sia stata su una chiavetta USB ormai scollegata o su una cartella di rete non più accessibile. E lo fa in modo permanente, lasciando un’impronta che resiste nel tempo.

In parole semplici, le ShellBag sono chiavi del registro di sistema che conservano una cronologia dettagliata e nascosta delle cartelle esplorate, un diario silenzioso e invisibile che Windows tiene aggiornato senza che tu lo sappia.

Cosa contengono davvero?

Dietro l’aspetto tecnico si nasconde un vero e proprio scrigno di dati personali:

• I percorsi completi delle cartelle esplorate, inclusi quelle su dischi esterni o risorse di rete;
• La modalità di visualizzazione scelta, come icone, dettagli o elenco;
• L’ordine di ordinamento dei file all’interno delle cartelle;
• I timestamp, ovvero le date di accesso, modifica e creazione;
• E persino dati che rimangono anche dopo l’eliminazione della cartella stessa.

Tutte queste informazioni vengono salvate in un formato binario o esadecimale, invisibile a un occhio inesperto, ma che può essere facilmente decifrato con strumenti specifici. In pratica, una sorta di impronta digitale perpetua della tua navigazione all’interno del file system.

Perché sono importanti (anche per la legge)?

Nel mondo della computer forensics, le ShellBag rappresentano una vera e propria miniera d’oro:

• Possono provare l’accesso a dispositivi esterni;
• Aiutano a ricostruire l’attività di un utente nel tempo;
• Offrono indizi fondamentali in caso di cancellazione sospetta di dati.

Ma attenzione: queste informazioni nascondono anche un potenziale rischio per la privacy.

Il GDPR (articoli 5 e 32) impone di minimizzare i dati raccolti e di conservarli solo se strettamente necessari. Le ShellBag, invisibili e persistenti, possono facilmente sfuggire a queste regole, pur essendo strettamente legate al profilo personale dell’utente sul computer.

I dati contenuti nelle ShellBag includono informazioni personali, come i tipi di file visionati, e pertanto possono rientrare nel campo di applicazione del GDPR. La loro persistenza e invisibilità diventano problematiche quando:

• Non c’è consapevolezza da parte del titolare del trattamento;
• Non esiste un motivo legittimo per conservarli;
• Non vengono adottate adeguate misure di gestione o cancellazione.

Norme e buone pratiche da seguire:

• GDPR art. 32: protezione dei dati integrata e attivata per impostazione predefinita;
• Linee guida dell’EDPB sull’articolo 25 (Privacy by Design e by Default)
• Linee guida AgID: minimizzazione e controllo accurato dei log utente;
• Microsoft Security Baselines: uso consapevole del registro e monitoraggio costante delle modifiche.

Rischi concreti: cosa può andare storto

1. Privacy compromessa: chi accede al tuo profilo può conoscere i tuoi spostamenti digitali, cosa apri e dove, anche se i file non esistono più;
2. Attacchi mirati: malware potrebbero sfruttare le ShellBag per individuare cartelle frequentemente usate o condivisioni recenti;
3. Prestazioni ridotte: un accumulo eccessivo di ShellBag può rallentare il caricamento del profilo utente, soprattutto su sistemi datati.

Dove si nascondono?

Le ShellBag sono distribuite in diversi percorsi del registro di sistema, con alcune differenze tra sistemi Windows a 32 bit e 64 bit.

Attenzione: manipolare queste chiavi senza le dovute precauzioni può causare danni gravi e irreversibili al sistema operativo, compromettendo il corretto funzionamento dell’interfaccia utente e potenzialmente causando crash o perdita di dati.

Per qualsiasi intervento sui registri si rimanda sempre alla guida ufficiale di Microsoft.

La pulizia selettiva delle ShellBag può essere eseguita tramite l’applicazione gratuita e portatile ShellBag AnalyZer (non richiede installazione).
Importante: dopo ogni operazione di pulizia è necessario riavviare il computer prima di aprire nuovamente qualsiasi finestra di navigazione, per evitare comportamenti anomali.

Per approfondire l’analisi e l’interpretazione dei dati, è possibile consultare la guida specifica Windows ShellBag Forensics in Depth.

È possibile ripulire o azzerare le ShellBag, ma questa è un’operazione delicata e rischiosa che richiede:

1. Un backup completo del registro (ad esempio con reg export);
2. L’uso di strumenti sicuri come ShellBag Analyzer (gratuito);
3. Il riavvio obbligatorio del sistema prima di esplorare nuovamente le cartelle;
4. La possibile ricostruzione manuale di alcune chiavi per evitare crash o malfunzionamenti.

Se non si ha piena consapevolezza di ciò che si sta facendo, non procedere assolutamente.

Le sezioni principali interessate dalle ShellBag sono: