Glossaire
LastWrite d'une clé de Registre
L'unique FILETIME stocké dans chaque clé de Registre, qui indique en UTC la dernière modification de la clé ou de l'une de ses valeurs.
Le LastWrite time est un FILETIME de 64 bits stocké dans l'enregistrement de chaque clé d'une ruche du Registre. Windows le met à jour dès que la clé elle-même change : création, modification ou suppression d'une valeur, ou ajout ou suppression d'une sous-clé directement en dessous. Les valeurs n'ont pas d'horodatage propre ; c'est donc la seule horloge par clé qu'offre le Registre. Il est stocké en UTC.
Cet horodatage indique quand quelque chose a changé dans une clé, pas quoi. Si une clé contient vingt valeurs, le LastWrite ne reflète que la modification la plus récente de l'une d'elles. C'est important pour les clés de type MRU comme les ShellBags ou RecentDocs : le LastWrite de la clé correspond généralement à l'entrée en tête de liste, tandis que les entrées plus anciennes n'ont pas de date directe.
Quelques pièges sont à garder en tête. Les mises à jour Windows, les installeurs et les services d'arrière-plan modifient des clés en permanence : un LastWrite récent ne prouve donc pas une action de l'utilisateur. Des modifications encore présentes dans les journaux de transactions du Registre peuvent ne pas apparaître dans la ruche principale tant que ces journaux n'ont pas été rejoués. Enfin, la valeur peut être modifiée volontairement via l'API native, une forme de timestomping : corroborez-la avec d'autres sources issues des ruches du Registre et du système de fichiers.
Artefacts concernés
- Amcache.hveFiche Amcache.hve : clés d'inventaire des fichiers et programmes, SHA-1, métadonnées PE, horodatages, et pourquoi une entrée ne prouve pas l'exécution.
- CapabilityAccessManager (caméra, micro, position)Fiche CapabilityAccessManager : clés ConsentStore, LastUsedTimeStart et Stop de la webcam et du micro par application, base SQLite de Windows 11.
- Clés Run et dossiers DémarrageFiche clés Run et dossiers Démarrage : chemins Run, RunOnce, Wow6432Node et Policies, octets StartupApproved activé/désactivé, horodatages.
- Historique des périphériques USBFiche forensique USB : clés USBSTOR et USB, numéros de série, première et dernière connexion, lettres de lecteur, setupapi.dev.log et événements.
- Images disque montées (ISO, IMG, VHD, VHDX)Fiche images disque montées : ISO/IMG/VHD/VHDX, événements VHDMP, MountedDevices, traces LNK et Jump Lists, failles Mark-of-the-Web et méthode de détection.
- MUICacheFiche MUICache : emplacements dans UsrClass.dat et NTUSER.DAT, valeurs FriendlyAppName et ApplicationCompany, ce qu'elles prouvent et limites de datation.
- Office MRU et Trust RecordsFiche Office MRU et TrustRecords : clés File MRU et User MRU par version d'Office, horodatage [T…], et repérage des documents dont les macros ont été activées.
- OpenSaveMRU et LastVisitedMRUFiche OpenSavePidlMRU et LastVisitedPidlMRU : clés ComDlg32 par version, ce qu'enregistre la boîte Ouvrir/Enregistrer, horodatages, pistes d'exfiltration.
- Périphériques Bluetooth appairésFiche Bluetooth : clés BTHPORT des appareils appairés, adresses MAC et noms, dates LastSeen/LastConnected, BTHENUM, journaux et transferts fsquirt.
- Persistance IFEO et WinlogonFiche IFEO et Winlogon : détournement par Debugger, GlobalFlag et SilentProcessExit, porte dérobée sticky keys, Userinit/Shell, Notify, AppInit_DLLs.
- Pilotes noyau (.sys, services de pilote, BYOVD)Fiche pilotes noyau : services de pilote (Type 1/2), événement 7045, DriverStore, setupapi.dev.log, Amcache et journaux CodeIntegrity contre BYOVD et rootkits.
- Profils réseau (NetworkList)Fiche NetworkList : profils réseau, SSID, adresses MAC de passerelle, première et dernière connexion (heure locale), profils WLAN et événements WLAN.
- Programmes installés (clés Uninstall, MSI, AppX)Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
- RecentDocsFiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
- Ruche SAM et comptes utilisateursFiche ruche SAM : comptes locaux, RID, dernière connexion et changement de mot de passe, compteurs, groupes, ProfileList et ID d'événements liés aux comptes.
- Ruches du registreFiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
- RunMRUFiche RunMRU : commandes saisies dans la boîte Exécuter (Win+R) dans NTUSER.DAT, ordre MRUList, sens du LastWrite et motifs LOLBin ou UNC à rechercher.
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- ShellBagsFiche ShellBags : clés BagMRU et Bags dans UsrClass.dat et NTUSER.DAT, shell items, horodatages des dossiers, dossiers supprimés et USB, analyse avec SBECmd.
- Sous-système Windows pour Linux (WSL)Fiche WSL : clé de registre Lxss, rootfs WSL1 ou ext4.vhdx WSL2, bash_history des distributions, traces d'exécution de wsl.exe, partage wsl$ et évasion.
- Syscache.hveFiche Syscache.hve : la ruche de Windows 7 / Server 2008 R2 dans System Volume Information qui relie identifiants MFT et SHA-1, et ses limites.
- TypedPaths et WordWheelQueryFiche TypedPaths et WordWheelQuery : chemins saisis dans la barre d'adresse et recherches de l'Explorateur dans NTUSER.DAT, ordre, horodatages, conseils.
- UserAssistFiche UserAssist : clés GUID de NTUSER.DAT, noms en ROT13, nombre d'exécutions, temps au premier plan et dernière exécution des programmes lancés.