Microsoft Virtual Hard Disk (VHD)
| Format | Microsoft Virtual Hard Disk (VHD) |
|---|---|
| Kurzname | VHD |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Virtual Hard Disk: Ein 512-Byte-Footer am Dateiende, der mit 'conectix' beginnt, beschreibt den Datenträger. Drei Typen: fixed (die Bytes des Datenträgers, gefolgt vom Footer), dynamic (eine Kopie des Footers an Offset 0, ein Dynamic Header und eine Block Allocation Table; Blöcke werden beim Schreiben zugewiesen) und differencing (enthält nur die Blöcke, die sich seit einer Eltern-VHD geändert haben; der Inhalt des Datenträgers verteilt sich auf beide Dateien). Ältere Versionen von Virtual PC teilen eine VHD auf FAT32-Volumes in Dateien .v01, .v02 … auf. Verwendet von Virtual PC, frühem Hyper-V, der Windows-Datenträgerverwaltung und Images der Windows-Sicherung. Lässt sich seit Windows 8 per Doppelklick einbinden und wird als Container genutzt, um Malware an Mark-of-the-Web vorbei auszuliefern (MITRE ATT&CK T1553.005).
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 63 6F 6E 65 63 74 69 78 | conectix | Footer-Cookie 'conectix' in den letzten 512 Bytes |
| Offset 0 (0x0) | 63 6F 6E 65 63 74 69 78 | conectix | Kopie des Footers an Offset 0 bei einer dynamic- oder differencing-VHD |
Bekannte Dateiendungen
.vhd, .avhd
Referenzen
- Virtual Hard Disk (VHD) image format — format documentation (libyal/libvhdi) https://github.com/libyal/libvhdi/blob/main/documentation/Virtual%20Hard%20Disk%20(VHD)%20image%20format.asciidoc
- Unsplitting a split virtual hard disk (Microsoft, Virtual PC Guy) https://learn.microsoft.com/en-us/archive/blogs/virtual_pc_guy/unsplitting-a-split-virtual-hard-disk
- ForensicsWiki — Virtual Hard Disk (VHD) https://forensics.wiki/virtual_hard_disk_(vhd)/
- MITRE ATT&CK T1553.005 — Mark-of-the-Web Bypass https://attack.mitre.org/techniques/T1553/005/
- abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „Microsoft Virtual Hard Disk (VHD)“. https://kalink0.github.io/crush-forensics/formats/de/vhd/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden