MUICache : fiche forensique

Présentation

Le cache MUI (Multilingual User Interface) stocke le nom d'affichage des exécutables pour que le shell n'ait pas à relire les ressources de version de chaque fichier. Lorsqu'un programme est démarré via le shell, Windows lit son FileDescription (et, sur les versions récentes, son CompanyName) et le met en cache dans le registre de l'utilisateur. On obtient une liste d'exécutables par utilisateur, avec leur nom lisible, qui survit souvent à la suppression du programme.

Emplacement

Version de Windows	Ruche	Clé
XP	`NTUSER.DAT`	`Software\Microsoft\Windows\ShellNoRoam\MUICache`
Vista / 7 / 8 / 10 / 11	`UsrClass.dat`	`Local Settings\Software\Microsoft\Windows\Shell\MuiCache`

Sur un système en fonctionnement, la clé Vista+ est visible sous HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache.

Ce que l'artefact prouve

Le shell de l'utilisateur propriétaire de la ruche a chargé les informations d'affichage de l'exécutable. En pratique, cela arrive surtout quand le programme est exécuté : MUICache sert donc couramment de preuve complémentaire d'exécution attribuée à un utilisateur.
Il conserve le chemin complet, ce qui expose les outils lancés depuis une clé USB, un dossier temporaire ou un partage réseau.
Il n'est pas concluant à lui seul : d'autres opérations du shell ayant besoin du nom d'affichage peuvent créer des entrées, et il n'enregistre ni compteur ni heure par entrée.

Champs clés

Nom de valeur	Données
`<chemin complet>.FriendlyAppName`	`FileDescription` issu de la ressource de version PE (Windows 7 et ultérieurs)
`<chemin complet>.ApplicationCompany`	`CompanyName` issu de la ressource de version PE (Windows 7 et ultérieurs)
`<chemin complet>`	Nom lisible (style XP / Vista)
`LangID`	Valeur de gestion de la langue, pas un programme

Horodatages

Horodatage	Positionné quand	Format	Pièges
LastWrite de la clé `MuiCache`	Ajout ou modification de n'importe quelle valeur	FILETIME, UTC	Ne date que l'ajout le plus récent ; les entrées n'ont pas d'heure propre

Rétention et effacement

Les entrées s'accumulent pendant toute la vie du profil ; aucune limite de taille n'est documentée.
Certains outils de nettoyage suppriment la clé. Les valeurs supprimées peuvent rester récupérables dans l'espace libre de la ruche, et des copies plus anciennes existent dans les clichés instantanés de UsrClass.dat.
Renommer ou supprimer l'exécutable n'efface pas son entrée : MUICache peut conserver le nom d'outils disparus depuis longtemps.

Collecte

Cible KAPE : RegistryHivesUser (collecte UsrClass.dat et NTUSER.DAT avec leurs journaux)
Velociraptor (Windows.Triage.Targets) : RegistryHivesUser
Commandes natives (utilisateur courant) :

reg query "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache"

Outils d'analyse

Registry Explorer / RECmd (Eric Zimmerman) : navigation ou export par lot de la clé.
RegRipper : plugin muicache.
ExecutedProgramsList (NirSoft) : combine MUICache avec d'autres sources d'exécution sur un système en direct.

Conseils d'investigation

Le nom lisible est lu dans le fichier lui-même : un binaire nommé svchost.exe dont le FriendlyAppName est celui d'un archiveur ou d'un outil d'accès distant trahit un renommage.
Un ApplicationCompany vide ou étrange à côté d'un nom d'allure système est un indice de tri rapide.
Dressez la liste des chemins inhabituels par utilisateur, puis confirmez exécution et heure avec UserAssist, BAM/DAM ou le Prefetch.
Si le binaire a disparu, pivotez vers Amcache (SHA-1) et ShimCache avec le même chemin.

MUICache

Outils