Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen
Når en fil slettes til papirkurven i Windows, flyttes den ikke bare. Windows opretter en lille metadatafil, der registrerer filens oprindelige sti, størrelse og det præcise slettetidspunkt, og den placeres i en mappe, der er knyttet til brugerens konto. Papirkurven kan derfor vise, hvem der slettede hvad, hvorfra og hvornår. Selv når papirkurven er tømt, kan sporene ofte genfindes i filsystemet, men indholdet kan være tabt, særligt på SSD’er.
Den almene forklaring på gendannelse af slettede filer står på hubben i Kan slettede filer gendannes?. Her gennemgås papirkurvens tekniske opbygning.
Opbygningen
Hver volumen med papirkurv har en skjult mappe, $Recycle.Bin, i roden. Under den er der en undermappe for hver bruger, navngivet efter brugerens SID. Når en bruger sletter en fil til papirkurven, sker følgende:
- Filen omdøbes og flyttes til brugerens undermappe med et navn, der begynder med
$R, efterfulgt af seks tilfældige tegn og den oprindelige filendelse. - Der oprettes en tilsvarende fil, der begynder med
$Iog har samme seks tegn og endelse. - Slettes en mappe, bliver
$R-elementet en mappe med hele indholdet, mens$I-filen beskriver den oprindelige mappe.
$R-filen er det oprindelige indhold. $I-filen er metadata.
Indholdet af $I-filen
$I-filen er lille og indeholder i nyere Windows-versioner:
- Version · Formatversion
- Størrelse · Filens oprindelige størrelse i byte
- Slettetidspunkt · FILETIME i UTC
- Sti · Fuld oprindelig sti, inklusive filnavn
Formatet findes i to versioner. Version 1 fra Windows Vista til 8.1 har et stifelt med fast længde, mens version 2 fra Windows 10 angiver stiens længde, så filen har variabel størrelse. Parseren skal derfor håndtere begge. I meget gamle Windows-versioner lå oplysningerne i stedet i én samlet fil for hele papirkurven.
Koblingen fra SID til brugerkonto findes i registreringsdatabasen, under profillisten i SOFTWARE-hiven og i SAM for lokale konti; se Registreringsdatabasen i en undersøgelse.
Tidsstempler på $R-filen
$R-filen bevarer typisk filens oprindelige oprettelses- og ændringstid i $STANDARD_INFORMATION, fordi flytningen sker inden for samme volumen. Omdøbningen opdaterer derimod $FILE_NAME-attributten og MFT-postens ændringstid. Sammenholdt med $I-filens slettetidspunkt og ændringsjournalen kan forløbet ofte rekonstrueres præcist. NTFS-strukturerne er beskrevet i NTFS i dybden.
Når filer ikke ender i papirkurven
Mange sletninger går uden om papirkurven:
- sletning med Skift og Delete,
- filer, der er større end papirkurvens grænse, hvor Windows spørger, om de skal slettes permanent,
- sletning fra kommandolinjen, fra mange programmer og fra scripts,
- flytbare medier, hvor papirkurven ofte ikke bruges,
- netværksdrev, hvor sletningen sker på serveren uden lokal papirkurv,
- volumener, hvor papirkurven er slået fra.
Fravær af en fil i papirkurven siger derfor intet om, hvorvidt den er slettet. Det siger kun, at den ikke blev slettet via papirkurven, eller at papirkurven siden er tømt.
Tømt papirkurv
Når papirkurven tømmes, eller en enkelt fil slettes fra den, slettes både $I– og $R-filen almindeligt fra filsystemet. Sporene kan da findes flere steder:
- MFT-posterne for
$I– og$R-filerne kan stadig findes som slettede poster, indtil de genbruges. - Ændringsjournalen kan registrere sletningen af
$I– og$R-filerne, med tidspunkt. $I-filer er så små, at indholdet ofte ligger inde i MFT-posten og derfor kan genfindes, selv om de klynger,$R-filen optog, er ryddet.- Skyggekopier kan indeholde papirkurvens tilstand før tømningen.
På SSD’er med TRIM er indholdet af $R-filerne ofte ikke til at genskabe, mens metadata i MFT og journal kan være bevaret; se SSD, TRIM og gendannelse.
Gendannelse fra papirkurven
Gendannes en fil fra papirkurven, flyttes $R-filen tilbage til den oprindelige placering med det oprindelige navn, og $I-filen slettes. Det efterlader spor i ændringsjournalen: en omdøbning fra $R-navnet til det oprindelige navn. Det kan være relevant, hvis det skal vises, at en fil har været slettet og er gendannet igen, fx kort før en sikring.
Cloud og synkroniserede mapper
Ligger filen i en mappe, der synkroniseres med OneDrive, SharePoint eller en anden cloudtjeneste, sker sletningen også i skyen. Tjenesten har sin egen papirkurv og sin egen opbevaringsperiode, der fungerer uafhængigt af Windows’ papirkurv. Ofte findes filen og en logpost om sletningen dér, selv om den lokale papirkurv er tømt. Se Tidligere versioner i cloud.
Mønstre i papirkurven
Ud over de enkelte filer kan papirkurvens samlede indhold sige noget. Mange $I-filer med slettetidspunkter inden for få minutter peger på en samlet sletning af en mappe eller et udvalg af filer. Andre tegn på en samlet sletning er beskrevet i Massesletning efter en tvist er opstået. Stier, der alle peger på samme projektmappe eller samme netværksplacering synkroniseret lokalt, kan vise, hvad sletningen var rettet mod. Og en papirkurv, der indeholder ældre filer fra almindelig brug, men intet fra en bestemt periode, kan pege på, at netop den periode er tømt, hvis journalen bekræfter det.
Sådanne mønstre er indicier og skal sammenholdes med, hvordan kontoen normalt bruger papirkurven. Nogle brugere tømmer den dagligt, andre aldrig.
Sikring
Papirkurven sikres som en del af en forensisk kopi af volumen. En målrettet kopi kan tage $Recycle.Bin med, men mister så slettede MFT-poster, journal og skyggekopier, som er nødvendige, hvis papirkurven er tømt. Åbn ikke papirkurven i Stifinder på den originale computer for at “kigge”, og gendan ikke filer derfra før sikringen. Begge dele ændrer tilstanden og efterlader nye spor, der senere skal forklares.
Verifikation
Kontrollér afgørende $I-filer manuelt i hex: størrelsesfeltet, FILETIME-værdien og stien kan læses direkte. Sammenlign med værktøjets output, og notér formatversionen. Har filen også et spor i ændringsjournalen, bør tidspunkterne stemme inden for få sekunder. Afviger de mere, skal årsagen findes, fx en ændring af systemuret eller en fejl i parserens håndtering af formatet, før tidspunktet bruges i rapporten.
Fejlkilder
- Slettetidspunkt er flyttetidspunkt.
$I-filens tidspunkt er tidspunktet for flytningen til papirkurven, ikke for en eventuel senere tømning. - Kontoen er ikke personen. SID-mappen viser, hvilken konto sletningen skete under. Programmer, scripts og synkroniseringsklienter, der kører under brugerens konto, kan også slette til papirkurven.
- Forkert SID-kobling. Er profilen slettet eller genoprettet, kan SID’et pege på en konto, der ikke længere findes i profillisten.
- Formatfejl. En parser, der antager forkert formatversion, kan vise forkert sti eller størrelse.
- Tidszone. Slettetidspunktet er i UTC og skal konverteres på samme måde som resten af tidslinjen.
Hvad papirkurven kan og ikke kan bevise
Papirkurven kan vise, at en fil med en bestemt sti og størrelse blev flyttet til papirkurven under en bestemt konto på et bestemt tidspunkt, og ofte indholdet. Den kan ikke vise, hvem der sad ved tastaturet, eller hvorfor filen blev slettet. Spørgsmålet om, hvem der slettede en fil, kræver kobling til logon, programkørsel og cloudlogs; se Hvem slettede filen?.
Dokumentation
Angiv for hver fil: volumen, SID og tilknyttet konto, $I-filens navn og indhold (oprindelig sti, størrelse, slettetidspunkt i UTC), $R-filens hashværdi, hvis indholdet findes, og om sporet stammer fra den aktive papirkurv, fra slettede MFT-poster, fra journalen eller fra en skyggekopi. Placér slettetidspunkterne i den samlede tidslinje.
Kilder og versioner
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Windows-forensik
Læs også: SRUM: netværks- og programforbrug pr. bruger · UserAssist, RecentDocs og MRU-lister: brugerens seneste handlinger
→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
