UsrClass.dat

UsrClass.dat est la seconde ruche du Registre propre à chaque utilisateur, aux côtés de NTUSER.DAT. Depuis Windows Vista, elle se trouve dans C:\Users\<utilisateur>\AppData\Local\Microsoft\Windows\UsrClass.dat. À l'ouverture de session, Windows la charge sous HKEY_USERS\<SID>_Classes et la mappe dans HKEY_CURRENT_USER\Software\Classes, où elle contient les associations de fichiers et les enregistrements de classes COM propres à l'utilisateur.

Pour l'enquêteur, son intérêt tient surtout à sa branche Local Settings, qui abrite depuis Windows 7 des artefacts clés du shell :

• les ShellBags, sous Local Settings\Software\Microsoft\Windows\Shell\BagMRU et Bags, qui enregistrent les dossiers parcourus par l'utilisateur, y compris sur des lecteurs amovibles et réseau ;
• le MUICache, sous Local Settings\Software\Microsoft\Windows\Shell\MuiCache, qui liste les exécutables dont le shell a lu le nom d'affichage.

Les enregistrements COM par utilisateur sous Software\Classes\CLSID méritent aussi un examen, car un logiciel malveillant peut y inscrire un objet COM pour assurer sa persistance sans droits d'administrateur.

Comme NTUSER.DAT, la ruche est verrouillée tant que l'utilisateur est connecté, et les modifications récentes peuvent ne figurer que dans ses journaux de transactions (UsrClass.dat.LOG1 et .LOG2). Située dans AppData\Local et non à la racine du profil, elle est facile à oublier lors d'une collecte précipitée : rassemblez toujours les deux ruches utilisateur ensemble.