Accès aux fichiers
Office MRU et Trust Records
Fiche Office MRU et TrustRecords : clés File MRU et User MRU par version d'Office, horodatage [T…], et repérage des documents dont les macros ont été activées.
- Emplacement
- NTUSER.DAT\Software\Microsoft\Office\<version>\<App>\File MRU
- Prouve
- Un utilisateur a ouvert des documents Office (avec heures) et activé la modification ou les macros
- Horodatages
- Dernière ouverture [T...] de File MRU en FILETIME hexadécimal, UTC ; 8 premiers octets de TrustRecords en FILETIME, UTC ; LastWrite de la clé
- Rétention
- La MRU garde un nombre limité et configurable d'éléments par application et supprime les plus anciens ; TrustRecords conservés jusqu'à réinitialisation
- Accès
- NTUSER.DAT verrouillé tant que l'utilisateur est connecté : reg query à chaud, sinon NTFS brut (KAPE) ou VSS
- Type
- Registre
- Windows
- XPVista / 78 / 8.11011
- Cible KAPE
- RegistryHivesUser
- Velociraptor
- Windows.Triage.Targets:RegistryHivesUser
Outils
Comparer tous les outilsPrésentation
Microsoft Office tient ses propres listes, par utilisateur, des fichiers et dossiers ouverts récemment, distinctes de RecentDocs de l'Explorateur. Contrairement à la plupart des listes MRU, chaque entrée Office porte son propre horodatage. Office enregistre aussi, sous Trust Records, les documents pour lesquels l'utilisateur a cliqué sur « Activer la modification » ou « Activer le contenu » : la première étape classique d'une infection par macro.
Emplacement
Tout se trouve sous NTUSER.DAT\Software\Microsoft\Office\<version>\, où <version> vaut 12.0 (2007), 14.0 (2010), 15.0 (2013) ou 16.0 (2016, 2019, 2021, Microsoft 365) et <App> vaut Word, Excel, PowerPoint, Access…
| Clé | Contenu |
|---|---|
<App>\File MRU | Fichiers récents (comptes locaux / versions anciennes) |
<App>\Place MRU | Dossiers récents |
<App>\User MRU\<id de compte>\File MRU et \Place MRU | Mêmes listes par compte connecté (Microsoft 365 ; identifiants du type LiveId_… ou ADAL_…) |
<App>\Security\Trusted Documents\TrustRecords | Documents approuvés par l'utilisateur (modification et/ou macros activées) |
Ce que l'artefact prouve
- File MRU : l'utilisateur a ouvert le document dans cette application Office, avec un horodatage par entrée et le chemin complet (local, amovible ou réseau).
- Place MRU : dossiers utilisés depuis Office.
- TrustRecords : l'utilisateur a activé la modification (sortie du mode protégé) et, selon les données, activé les macros pour ce document.
- Les sous-clés de compte relient l'activité à une identité Microsoft 365 ou Entra ID.
Champs clés
| Élément | Signification |
|---|---|
Valeur Item N (File/Place MRU) | Chaîne du type [F00000000][T01D9…][O00000000]*C:\Users\bob\Desktop\facture.docm |
[T…] | FILETIME 64 bits écrit en hexadécimal |
Chemin après * | Chemin complet du document ou du dossier |
| Nom de valeur TrustRecords | Chemin complet (ou URL) du document approuvé |
| Données TrustRecords, 8 premiers octets | FILETIME du moment où le document a été approuvé |
| Données TrustRecords, 4 derniers octets | FF FF FF 7F si les macros ont été activées (« Activer le contenu ») |
Horodatages
| Horodatage | Positionné quand | Format | Pièges |
|---|---|---|---|
[T…] dans File MRU | Ouverture du document dans cette application | FILETIME hexadécimal, UTC | Généralement lu comme la dernière ouverture ; confirmez avec les fichiers LNK et les Jump Lists |
| 8 premiers octets de TrustRecords | Clic sur Activer la modification / Activer le contenu | FILETIME, UTC | Une activation ultérieure peut mettre l'enregistrement à jour |
| LastWrite de la clé | Modification de n'importe quelle entrée | FILETIME, UTC | Seulement la modification la plus récente |
Rétention et effacement
- Les listes MRU conservent un nombre limité d'éléments par application (réglable dans les options d'Office) et abandonnent les plus anciens.
- Retirer un élément de la liste « Récents » d'Office supprime sa valeur ; les TrustRecords persistent jusqu'à la réinitialisation de l'approbation ou la suppression de la clé.
- Un document renommé ou déplacé garde son ancien chemin dans la MRU, ce qui aide à retrouver l'original.
Collecte
- Cible KAPE :
RegistryHivesUser - Velociraptor (
Windows.Triage.Targets) :RegistryHivesUser;Windows.Registry.EnabledMacroliste les TrustRecords avec macros activées. - Commandes natives (utilisateur courant) :
reg query "HKCU\Software\Microsoft\Office\16.0\Word" /s /f "MRU"
reg query "HKCU\Software\Microsoft\Office\16.0\Word\Security\Trusted Documents\TrustRecords"
Outils d'analyse
- Registry Explorer / RECmd (Eric Zimmerman) : les plugins Office MRU et TrustRecords décodent chemins et horodatages.
- RegRipper : plugins
officedocs2010ettrustrecords. - Velociraptor :
Windows.Registry.EnabledMacro.
Conseils d'investigation
- Dans un dossier d'hameçonnage, une entrée TrustRecords se terminant par
FF FF FF 7Fpour un fichier deDownloadsouContent.Outlookmarque souvent l'instant de la compromission ; alignez-la sur le premier processus suspect. - Vérifiez le Zone.Identifier du document pour confirmer sa provenance Internet (Mark of the Web).
- Des chemins sur clé USB ou partage dans File MRU montrent quels documents l'utilisateur a ouverts depuis un support externe.
- Comparez les heures des MRU Office avec RecentDocs, qui n'a pas d'heure par entrée.
Artefacts liés
- RecentDocsFiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
- Fichiers de raccourci LNKFiche LNK : raccourcis du dossier Recent, première et dernière ouverture, horodatages de la cible, numéro de série, partage réseau et adresse MAC.
- Jump ListsFiche Jump Lists : AutomaticDestinations et CustomDestinations, AppID, entrées DestList avec dernier accès, nombre d'accès, épinglage, et JLECmd.
- Zone.Identifier (Mark of the Web)Fiche Zone.Identifier : flux ADS Mark of the Web, ZoneId 0 à 4, ReferrerUrl et HostUrl selon le navigateur, pertes et contournements, collecte via la $MFT.
- OpenSaveMRU et LastVisitedMRUFiche OpenSavePidlMRU et LastVisitedPidlMRU : clés ComDlg32 par version, ce qu'enregistre la boîte Ouvrir/Enregistrer, horodatages, pistes d'exfiltration.
- Fichiers de données Outlook (PST et OST)Fiche Outlook PST/OST : emplacements des fichiers, messages et éléments supprimés, cache Content.Outlook, clés de profil, nouvel Outlook et analyse.
- Fichiers du spouleur d'impression (.SPL et .SHD)Fiche spouleur d'impression : fichiers .SPL et .SHD de spool\PRINTERS, récupération EMF, événement 307 PrintService, pilotes et traces PrintNightmare.
Termes du glossaire
- NTUSER.DATLa ruche du Registre propre à chaque utilisateur, stockée dans son profil et chargée comme HKEY_CURRENT_USER, riche en traces d'activité.
- FILETIMELe format d'horodatage Windows sur 64 bits qui compte les intervalles de 100 nanosecondes depuis le 1er janvier 1601 UTC.
- LastWrite d'une clé de RegistreL'unique FILETIME stocké dans chaque clé de Registre, qui indique en UTC la dernière modification de la clé ou de l'une de ses valeurs.
- Mark of the Web (MOTW)Le flux alternatif Zone.Identifier que Windows ajoute aux fichiers téléchargés, avec la zone de sécurité et souvent l'URL d'origine.