Registry Forensics Windows (Forensique de la base de registre Windows)
forensicsDéfinition
La base de registre Windows est une source d'artefacts forensiques extrêmement riche pour les investigations numériques, contenant des traces de l'activité système, des programmes exécutés, des connexions réseau, et des mécanismes de persistance malveillante. Les ruches de registre (hives) les plus analysées sont NTUSER.DAT (profil utilisateur : historique, programmes récents), SYSTEM (configuration système, services), SOFTWARE (programmes installés, associations de fichiers), SECURITY et SAM (authentification locale). Des clés spécifiques sont recherchées en priorité : les clés Run/RunOnce pour la persistance au démarrage, les MRU (Most Recently Used) lists révélant l'activité récente, les clés UserAssist encodées en ROT13 listant les exécutables lancés, ShimCache/AppCompatCache pour l'historique d'exécution, et Amcache.hve pour les métadonnées des fichiers exécutés. Des outils comme RegRipper, Registry Explorer (Eric Zimmerman), ou la suite KAPE automatisent l'extraction et l'analyse de ces artefacts. L'analyse des timestamps des clés de registre (LastWriteTime) permet de situer les modifications dans la timeline forensique.
Description
La forensique du registre Windows analyse les ruches NTUSER.DAT, SYSTEM, SOFTWARE, SAM et SECURITY pour extraire les artefacts d'activité : persistance (Run/RunOnce), historiques d'exécution (UserAssist ROT13, ShimCache, Amcache), périphériques USB (USBSTOR) et configuration réseau. Registry Explorer et RegRipper automatisent l'extraction.
Usage forensique
Clés forensiques prioritaires : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run (persistance), HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist (exécution), HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR (USB). KAPE automatise la collecte des ruches.
Points clés
- ShimCache (AppCompatCache) : historique des exécutables lancés même en l'absence de Prefetch (serveurs)
- Amcache.hve : métadonnées des fichiers exécutés récemment — SHA-1 du binaire et timestamp d'exécution
- LastWriteTime des clés : horodatage de modification permettant de situer les changements dans la timeline
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis