Glossaire
NTUSER.DAT
La ruche du Registre propre à chaque utilisateur, stockée dans son profil et chargée comme HKEY_CURRENT_USER, riche en traces d'activité.
NTUSER.DAT est la principale ruche du Registre propre à chaque utilisateur. Chaque profil en possède sa copie à la racine du dossier de profil, par exemple C:\Users\<utilisateur>\NTUSER.DAT (sous Windows XP, dans C:\Documents and Settings\<utilisateur>). À l'ouverture de session, Windows la charge sous HKEY_USERS\<SID> et l'expose en tant que HKEY_CURRENT_USER.
Parce qu'elle enregistre les paramètres et l'historique de l'utilisateur, NTUSER.DAT est l'une des sources les plus précieuses pour attribuer une activité à un compte précis (identifié par son SID). Elle contient notamment :
- des traces de lancement de programmes comme UserAssist ;
- les fichiers et commandes récemment utilisés, dont RecentDocs, RunMRU, TypedPaths et les listes MRU des boîtes de dialogue ;
- les entrées de démarrage automatique propres à l'utilisateur dans les clés Run ;
- les paramètres et listes de fichiers récents de nombreux logiciels tiers.
Le fichier est verrouillé tant que l'utilisateur est connecté : il faut donc le collecter depuis une image forensique, un cliché instantané de volume ou avec des outils d'accès brut plutôt que par une simple copie. Collectez aussi les journaux de transactions associés (NTUSER.DAT.LOG1 et .LOG2), car les modifications récentes peuvent n'exister que là. N'oubliez pas que l'historique des dossiers de l'Explorateur (ShellBags) et d'autres données du shell se trouvent dans la seconde ruche utilisateur, UsrClass.dat, à collecter systématiquement en même temps.
Artefacts concernés
- Assistant Compatibilité des programmes (PCA)Fiche PCA : fichiers PcaAppLaunchDic.txt et PcaGeneralDb de Windows 11, clé AppCompatFlags Store, champs et horodatages UTC des lancements.
- Clés Run et dossiers DémarrageFiche clés Run et dossiers Démarrage : chemins Run, RunOnce, Wow6432Node et Policies, octets StartupApproved activé/désactivé, horodatages.
- Client de synchronisation OneDriveFiche OneDrive : clés de registre du compte, métadonnées SyncEngineDatabase.db et <CID>.dat, journaux ODL, SafeDelete.db, fichiers à la demande et analyse.
- Historique du presse-papiersFiche presse-papiers : ce que Windows 10/11 garde en mémoire, éléments épinglés sur disque, texte du presse-papiers cloud dans ActivitiesCache.db et registre.
- Office MRU et Trust RecordsFiche Office MRU et TrustRecords : clés File MRU et User MRU par version d'Office, horodatage [T…], et repérage des documents dont les macros ont été activées.
- OpenSaveMRU et LastVisitedMRUFiche OpenSavePidlMRU et LastVisitedPidlMRU : clés ComDlg32 par version, ce qu'enregistre la boîte Ouvrir/Enregistrer, horodatages, pistes d'exfiltration.
- Programmes installés (clés Uninstall, MSI, AppX)Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
- RecentDocsFiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
- Ruches du registreFiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
- RunMRUFiche RunMRU : commandes saisies dans la boîte Exécuter (Win+R) dans NTUSER.DAT, ordre MRUList, sens du LastWrite et motifs LOLBin ou UNC à rechercher.
- ShellBagsFiche ShellBags : clés BagMRU et Bags dans UsrClass.dat et NTUSER.DAT, shell items, horodatages des dossiers, dossiers supprimés et USB, analyse avec SBECmd.
- Sous-système Windows pour Linux (WSL)Fiche WSL : clé de registre Lxss, rootfs WSL1 ou ext4.vhdx WSL2, bash_history des distributions, traces d'exécution de wsl.exe, partage wsl$ et évasion.
- Traces de connexions RDPFiche forensique RDP : ID côté cible (4624 type 10, 1149, 21 à 25, 131) et traces côté source (clés Terminal Server Client, Default.rdp, événement 1024).
- TypedPaths et WordWheelQueryFiche TypedPaths et WordWheelQuery : chemins saisis dans la barre d'adresse et recherches de l'Explorateur dans NTUSER.DAT, ordre, horodatages, conseils.
- UserAssistFiche UserAssist : clés GUID de NTUSER.DAT, noms en ROT13, nombre d'exécutions, temps au premier plan et dernière exécution des programmes lancés.