SOFTWARE Hive Forensics

Définition

La ruche SOFTWARE est la ruche de registre Windows contenant les configurations des logiciels installés sur le système. Stockée dans C:\Windows\System32\config\SOFTWARE, elle est accessible via HKEY_LOCAL_MACHINE\SOFTWARE et constitue une mine d'informations forensiques sur les applications installées, les configurations système, et les activités récentes. Forensiquement, SOFTWARE contient de nombreux artefacts précieux. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ liste tous les programmes installés avec leurs noms, éditeurs, versions, dates d'installation, et chemins d'installation — permettant de détecter des applications installées à des dates suspectes. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run et RunOnce contiennent les programmes lancés au démarrage pour tous les utilisateurs (à distinguer des clés similaires dans NTUSER.DAT qui sont spécifiques à l'utilisateur). HKLM\SOFTWARE\RegisteredApplications liste les applications qui se sont enregistrées auprès de Windows comme gestionnaires de protocoles ou de types de fichiers. Les informations sur le système d'exploitation dans SOFTWARE sont précieuses pour calibrer l'analyse forensique : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ contient la version de Windows, la date d'installation, le nom d'ordinateur, le produit ID. Ces informations permettent de confirmer l'identité du système et d'identifier d'éventuelles modifications (tentatives de masquer l'identité du système en modifiant ces clés). Les configurations d'antivirus et de sécurité sont aussi dans SOFTWARE, incluant les exclusions définies pour les antivirus (HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\ — les exclusions peuvent avoir été ajoutées par des malwares pour éviter leur détection). Les logs de Windows Update (HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate) révèlent le niveau de patching du système. Pour l'analyse de l'historique des applications, HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers et les entrées Installed Programs peuvent révéler des applications qui ont été installées puis désinstallées, laissant des traces résiduelles.