Windows Event Log (EVT, legacy)
| Format | Windows Event Log (EVT, legacy) |
|---|---|
| Kurzname | EVT |
| Kategorie | Log |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Das binäre Ereignisprotokoll von Windows NT bis XP/2003 (AppEvent.Evt, SecEvent.Evt, SysEvent.Evt): ein Ringpuffer von Ereignisdatensätzen mit Datensatznummer, Erzeugungs- und Schreibzeit (POSIX-Zeit, UTC), Ereignis-ID, Quelle und Strings. Datensätze aus der Zeit vor einem Umlauf können im freien Bereich der Datei erhalten bleiben, und da jeder Datensatz die Signatur 'LfLe' trägt, lassen sich Datensätze auch aus dem Unallocated-Bereich oder dem Arbeitsspeicher carven. Ab Windows Vista durch EVTX abgelöst.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 30 00 00 00 4C 66 4C 65 | 0...LfLe | Datei-Header: Größe 0x30, gefolgt von der Signatur 'LfLe' an Offset 4 |
| Offset unbekannt | 4C 66 4C 65 | LfLe | Signatur 'LfLe' der Ereignisdatensätze, an Offset 4 jedes Datensatzes |
Bekannte Dateiendungen
.evt
Referenzen
- Windows Event Viewer Log (EVT) format (libyal/libevt) https://github.com/libyal/libevt/blob/main/documentation/Windows%20Event%20Log%20(EVT)%20format.asciidoc
- Event Log File Format (Microsoft) https://learn.microsoft.com/en-us/windows/win32/eventlog/event-log-file-format
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Event Log (EVT, legacy)“. https://kalink0.github.io/crush-forensics/formats/de/evt/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden