LNK (raccourci Windows) — fichier .lnk

Le LNK est le format des raccourcis Windows : un petit fichier binaire qui stocke le chemin vers une cible (fichier, dossier ou exécutable), des arguments de ligne de commande éventuels, une icône, et plusieurs autres métadonnées comme le dossier de travail ou une combinaison de touches d’activation. Il est documenté publiquement par Microsoft dans la spécification [MS-SHLLINK].

Chaque LNK débute par un en-tête fixe de 76 octets, dont les 4 premiers octets (“4C 00 00 00”) indiquent la taille de cet en-tête et servent en pratique de signature de reconnaissance, suivis d’un identifiant de classe (CLSID) constant qui confirme qu’il s’agit bien d’un raccourci Shell.

Un LNK n’est pas un fichier anodin du point de vue sécurité : rien n’empêche sa cible d’être une commande PowerShell arbitraire avec des arguments dissimulés, une technique couramment employée dans des campagnes de phishing pour exécuter du code sans joindre de véritable exécutable — un LNK reçu par email ou téléchargé d’une source non fiable doit être traité avec la même prudence qu’un .exe.

Au-delà des blocs de données optionnels ajoutant icône ou arguments, chaque LNK peut aussi référencer sa cible via un identifiant Shell interne à Windows plutôt qu’un simple chemin de fichier texte, ce qui explique pourquoi un raccourci reste parfois fonctionnel même après le déplacement de son fichier cible.

Les enquêteurs en informatique judiciaire s’intéressent de près aux fichiers LNK que Windows génère automatiquement dans le dossier des “documents récents” : chacun conserve le numéro de série du volume et l’horodatage d’un fichier ouvert, ce qui peut prouver qu’un document a été consulté depuis une clé USB ou un disque externe donné, même longtemps après le retrait de ce support et la suppression du fichier d’origine.