RegRipper Registry Analysis

Définition

RegRipper est un outil open source de parsing et d'analyse des ruches de registre Windows, développé par Harlan Carvey (auteur de Windows Forensic Analysis). Il fonctionne en mode plugin : des centaines de plugins Perl extraient automatiquement des artefacts forensiques spécifiques depuis les ruches de registre (NTUSER.DAT, SOFTWARE, SYSTEM, SAM, SECURITY), produisant des rapports textuels lisibles et des sorties JSON. L'architecture de RegRipper est basée sur des plugins indépendants, chacun ciblant un artefact registre spécifique. Chaque plugin : ouvre la ruche, navigue vers les clés pertinentes, extrait et formate les valeurs pertinentes avec des timestamps, et produit une sortie interprétée. Exemples de plugins NTUSER.DAT : userassist (analyse et décode les UserAssist), recentdocs (fichiers récents par extension), run (clés Run et RunOnce de l'utilisateur), shellbags, typedpaths, muicache, appcompatcache, recentapps. Pour la ruche SYSTEM, les plugins clés incluent : services (liste complète des services Windows avec timestamps), usbstor (historique des périphériques USB connectés avec vendorID, productID, serial), timezone (fuseau horaire du système), mfu (Most Frequently Used applications), networklist (profils réseau Wi-Fi/ethernet connus avec géolocalisation), et controlset (configuration active du système). RegRipper peut être utilisé en mode standalone (rip.pl -r NTUSER.DAT -f ntuser → exécute tous les plugins NTUSER.DAT) ou via le mode fichier batch qui analyse toutes les ruches en une seule passe et produit un rapport consolidé. La sortie peut être redirigée vers Timeline Explorer pour intégration dans une super timeline forensique. Les plugins RegRipper sont écrits en Perl et peuvent être personnalisés ou étendus. La communauté forensique a contribué des centaines de plugins additionnels via GitHub. L'alternative Python est Registry Explorer (Eric Zimmerman) qui offre une interface graphique interactive avec les mêmes capacités d'analyse.