Crush — Format Referenz

Microsoft Virtual Hard Disk v2 (VHDX)

Forensische Relevanz

Virtual Hard Disk v2: der Nachfolger von VHD. Beginnt mit dem File Type Identifier 'vhdxfile', gefolgt von zwei redundanten Headern, einem Log für Absturzkonsistenz, einer Block Allocation Table und einer Metadaten-Region. Fixed, dynamic und differencing Disks wie bei VHD; eine differencing Disk enthält nur die Blöcke, die sich seit ihrer Eltern-Disk geändert haben. Verwendet von Hyper-V, der Windows-Datenträgerverwaltung und Backup-Produkten. WSL 2 speichert jede Linux-Distribution als ext4.vhdx unter %LOCALAPPDATA%\Packages\…\LocalState\, und Docker Desktop speichert seine Daten in einer VHDX. Ein Windows-Host kann daher vollständige Linux-Dateisysteme enthalten. Lässt sich per Doppelklick einbinden und wird genutzt, um Malware an Mark-of-the-Web vorbei auszuliefern.

Signaturen

Bekannte Dateiendungen

.vhdx, .avhdx

Referenzen

• [MS-VHDX]: Virtual Hard Disk v2 (VHDX) File Format (Microsoft) https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-vhdx/
• Virtual Hard Disk version 2 (VHDX) image format — format documentation (libyal/libvhdi) https://github.com/libyal/libvhdi/blob/main/documentation/Virtual%20Hard%20Disk%20version%202%20(VHDX)%20image%20format.asciidoc
• MITRE ATT&CK T1553.005 — Mark-of-the-Web Bypass https://attack.mitre.org/techniques/T1553/005/
• abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe

Diesen Eintrag zitieren

Crush-Format-Referenz, „Microsoft Virtual Hard Disk v2 (VHDX)“. https://kalink0.github.io/crush-forensics/formats/de/vhdx/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden