Windows Registry Hive
| Format | Windows Registry Hive |
|---|---|
| Kurzname | Registry Hive |
| Kategorie | Datenbank |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Hierarchische Konfigurationsdatenbank von Windows, gespeichert als binäre Hive-Dateien. Wichtige forensische Hives: SYSTEM (C:\Windows\System32\config\SYSTEM): Boot-Konfiguration, Dienste, USB-Gerätehistorie (USBSTOR), Netzwerkschnittstellen, ShimCache, Zeitzone; SOFTWARE: installierte Programme, Windows-Version, Run-Schlüssel, geplante Aufgaben; SAM: Metadaten lokaler Konten, Anzahl der Anmeldungen, Zeitstempel der letzten Anmeldung; NTUSER.DAT (%USERPROFILE%): UserAssist (GUI-Ausführungen mit Ausführungszähler und Zeitstempeln, ROT-13-kodiert), RecentDocs MRU, TypedPaths, ShellBags, OpenSaveMRU, Run-Schlüssel zur Persistenz; UsrClass.dat: ShellBags für Ordner außerhalb des Desktops, MUICache; Amcache.hve (C:\Windows\AppCompat\Programs\): SHA-1-Hashes und Zeitstempel von Programmen, die auf dem System vorhanden waren oder ausgeführt wurden (ein Eintrag allein beweist keine Ausführung, mit anderen Artefakten abgleichen). Jeder Schlüssel hat eine LastWriteTime (Windows FILETIME: 100-Nanosekunden-Intervalle seit 1601-01-01 UTC). Transaktionslogs (.LOG1/.LOG2) enthalten nicht committete Änderungen, die noch nicht in den primären Hive geschrieben wurden. Für eine vollständige Analyse müssen sie eingearbeitet werden. Gelöschte Schlüssel können im Slack-Bereich des Hives erhalten bleiben.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 72 65 67 66 | regf | Signatur eines Registry-Hives ('regf') |
Bekannte Dateiendungen
.dat, .hve, .log1, .log2
Referenzen
- Windows Registry hive format specification (Maxim Suhanov) https://github.com/msuhanov/regf/blob/master/Windows%20registry%20file%20format%20specification.md
- Investigating Windows Registry (ElcomSoft, Oleg Afonin, 2026) https://blog.elcomsoft.com/2026/02/investigating-windows-registry/
- AmCache Analysis (ANSSI, Blanche Lagny, 2019) https://www.ssi.gouv.fr/publication/amcache-analysis/
- Windows Registry (ForensicsWiki) https://forensics.wiki/windows_registry/
- Registry Explorer and RECmd (Eric Zimmerman tools) https://ericzimmerman.github.io/#!index.md
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Registry Hive“. https://kalink0.github.io/crush-forensics/formats/de/registry-hive/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden