Activité utilisateur
TypedPaths et WordWheelQuery
Fiche TypedPaths et WordWheelQuery : chemins saisis dans la barre d'adresse et recherches de l'Explorateur dans NTUSER.DAT, ordre, horodatages, conseils.
- Emplacement
- NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths
- Prouve
- Un utilisateur a saisi un chemin ou recherché un terme dans l'Explorateur
- Horodatages
- LastWrite des clés TypedPaths et WordWheelQuery en FILETIME, UTC, ne date que l'entrée la plus récente
- Rétention
- Listes MRU courtes, les plus anciennes entrées disparaissent ; effacées par l'historique de l'Explorateur ou un nettoyeur ; voir slack de ruche et VSS
- Accès
- NTUSER.DAT par utilisateur, verrouillé tant que l'utilisateur est connecté : collecte en NTFS brut (KAPE) ou VSS ; reg query pour l'utilisateur courant
- Type
- Registre
- Windows
- XPVista / 78 / 8.11011
- Cible KAPE
- RegistryHivesUser
- Velociraptor
- Windows.Triage.Targets:RegistryHivesUser
Outils
Comparer tous les outilsPrésentation
Deux petites listes par utilisateur tenues par l'Explorateur Windows :
- TypedPaths : chemins saisis ou collés par l'utilisateur dans la barre d'adresse de l'Explorateur (par exemple
\\fileserver\finance$ouC:\Windows\Temp). - WordWheelQuery : termes recherchés dans la zone de recherche de l'Explorateur (par exemple
password,*.kdbx,facture).
Toutes deux révèlent une intention, dans les mots mêmes de l'utilisateur, ce qui les rend précieuses dans les affaires de menace interne et de vol de données.
Emplacement
| Version de Windows | Clé (NTUSER.DAT) | Contenu |
|---|---|---|
| Vista / 7 / 8 / 10 / 11 | Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths | Valeurs url1 … urlN (texte), url1 = la plus récente |
| 7 / 8 / 10 / 11 | Software\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery | Valeurs numérotées (termes en UTF-16) + MRUListEx |
| XP | Software\Microsoft\Search Assistant\ACMru\<id> | Historique de l'Assistant Recherche (noms de fichiers, mots recherchés) |
La recherche de la barre des tâches et du menu Démarrer de Windows 10/11 n'écrit pas ses termes dans WordWheelQuery ; seule la zone de recherche des fenêtres de l'Explorateur le fait.
Ce que l'artefact prouve
- TypedPaths : l'utilisateur a délibérément saisi un emplacement, y compris des partages administratifs cachés, des chemins UNC vers d'autres machines et des dossiers inaccessibles en cliquant.
- WordWheelQuery : l'utilisateur a cherché quelque chose par son nom, même si rien n'a été trouvé ou ouvert ensuite.
- Aucune des deux ne prouve que l'emplacement était joignable ni qu'un résultat a été ouvert ; associez-les aux ShellBags et aux fichiers LNK.
Champs clés
| Élément | Signification |
|---|---|
url1 … urlN (TypedPaths) | Chemins saisis, url1 le plus récent |
| Valeurs numérotées (WordWheelQuery) | Termes de recherche, UTF-16, terminés par un nul |
MRUListEx (WordWheelQuery) | Ordre des recherches, la plus récente en premier |
Horodatages
| Horodatage | Positionné quand | Format | Pièges |
|---|---|---|---|
| LastWrite de la clé TypedPaths | Saisie d'un chemin | FILETIME, UTC | Ne date que url1 |
| LastWrite de la clé WordWheelQuery | Ajout ou réutilisation d'un terme | FILETIME, UTC | Ne date que la première entrée de MRUListEx |
Rétention et effacement
- TypedPaths conserve une courte liste (les valeurs
urlles plus anciennes disparaissent) ; WordWheelQuery conserve une liste MRU limitée. - « Effacer l'historique » dans la barre d'adresse ou les options de recherche de l'Explorateur, ainsi que les outils de nettoyage, suppriment ces valeurs ; vérifiez l'espace libre de la ruche et les clichés instantanés.
Collecte
- Cible KAPE :
RegistryHivesUser - Velociraptor (
Windows.Triage.Targets) :RegistryHivesUser - Commandes natives (utilisateur courant) :
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths"
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery"
Outils d'analyse
- Registry Explorer / RECmd (Eric Zimmerman) : décode les valeurs binaires de WordWheelQuery et l'ordre MRU.
- RegRipper : plugins
typedpathsetwordwheelquery.
Conseils d'investigation
- Des chemins UNC saisis vers d'autres machines (
\\SRV01\C$) signalent un mouvement latéral manuel ou une navigation dans des données ; vérifiez les connexions sur l'hôte cible. - Des termes comme
password,vpn,confidentiel,*.pstou le nom d'un concurrent sont de forts indicateurs d'intention dans les affaires internes. - Combinez le LastWrite de TypedPaths avec RunMRU et les ShellBags pour reconstituer la session minute par minute.
- Pour le contenu indexé que l'utilisateur a pu trouver, voyez l'index Windows Search.
Artefacts liés
- ShellBagsFiche ShellBags : clés BagMRU et Bags dans UsrClass.dat et NTUSER.DAT, shell items, horodatages des dossiers, dossiers supprimés et USB, analyse avec SBECmd.
- RunMRUFiche RunMRU : commandes saisies dans la boîte Exécuter (Win+R) dans NTUSER.DAT, ordre MRUList, sens du LastWrite et motifs LOLBin ou UNC à rechercher.
- RecentDocsFiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
- Index Windows SearchFiche index Windows Search : Windows.edb (ESE) et Windows.db SQLite de Windows 11, chemins, dates et contenu indexés, enregistrements supprimés, esentutl.
- OpenSaveMRU et LastVisitedMRUFiche OpenSavePidlMRU et LastVisitedPidlMRU : clés ComDlg32 par version, ce qu'enregistre la boîte Ouvrir/Enregistrer, horodatages, pistes d'exfiltration.
Termes du glossaire
- NTUSER.DATLa ruche du Registre propre à chaque utilisateur, stockée dans son profil et chargée comme HKEY_CURRENT_USER, riche en traces d'activité.
- LastWrite d'une clé de RegistreL'unique FILETIME stocké dans chaque clé de Registre, qui indique en UTC la dernière modification de la clé ou de l'une de ses valeurs.