NTUSER.DAT

Définition

NTUSER.DAT est le fichier de registre Windows spécifique à chaque profil utilisateur. Stocké dans le répertoire racine du profil (%USERPROFILE%, généralement C:\Users\NomUtilisateur\), il constitue la ruche (hive) personnelle de l'utilisateur et contient une mine d'informations forensiques sur l'activité de ce dernier sur le système. D'un point de vue technique, NTUSER.DAT est chargé par Windows Registry au moment de l'ouverture de session de l'utilisateur, devenant accessible via la clé HKEY_CURRENT_USER (HKCU). Il contient des paramètres personnalisés pour les applications, les préférences du bureau, l'historique des activités récentes, et de nombreux artefacts d'activité utilisateur utiles aux investigations forensiques. Les artefacts forensiques les plus précieux dans NTUSER.DAT incluent plusieurs catégories. Les clés UserAssist enregistrent chaque programme exécuté par l'utilisateur avec un compteur d'exécutions et un timestamp, codées en ROT-13. Les clés RecentDocs documentent les fichiers récemment ouverts par type d'extension. Les clés TypedPaths enregistrent les chemins tapés manuellement dans l'Explorateur Windows. RunMRU contient l'historique de la boîte de dialogue Exécuter (Win+R). ComDlg32 LastVisitedPidlMRU et OpenSavePidlMRU enregistrent les boîtes de dialogue d'ouverture/sauvegarde de fichiers dans les applications. Les clés liées à la connectivité réseau sont également riches : Network\MRU liste les partages réseau récemment accessibles, Comdlg32 liste les fichiers récents de chaque application. Pour les investigations de malwares, les clés de persistance dans NTUSER.DAT incluent HKCU\Software\Microsoft\Windows\CurrentVersion\Run et RunOnce (programmes lancés au démarrage de session pour l'utilisateur concerné), ainsi que HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load et Run. L'analyse forensique de NTUSER.DAT nécessite des outils capables de parser les fichiers de registre. Registry Explorer d'Eric Zimmerman est l'outil open source le plus performant, offrant une interface graphique riche avec recherche, comparaison, et export. RegRipper automatise l'extraction de centaines d'artefacts via des plugins spécialisés. Pour les investigations à grande échelle, Volatility peut extraire les hives du dump mémoire. Lors d'une investigation, il est impératif d'analyser les NTUSER.DAT de tous les profils présents sur le système, y compris les comptes de service et les profils supprimés (dont les traces peuvent subsister dans C:\Users\). Les fichiers de journalisation associés (NTUSER.DAT.LOG1, NTUSER.DAT.LOG2) peuvent contenir des modifications récentes pas encore fusionnées dans la hive principale.