Clés de registres

0. Contexte

Environnement : Windows 10 (VM)
Droits : exécution en administrateur requise pour reg save et la plupart des opérations sur les hives.
Outils : FTK Imager, reg.exe, Mimikatz, Registry Explorer.

FTK Imager (méthode graphique)
- File → Obtain Protected Files → choisir l’option pour extraire les fichiers de registre (« Password recovery and all registry files »).
- Vérifier la bonne obtention de : C:\Windows\System32\config\{SAM, SYSTEM, SECURITY, SOFTWARE, DEFAULT} et C:\Users\<user>\NTUSER.DAT.
reg save (ligne de commande, en admin)
- Exécuter dans une session avec privilèges Administrateur :
```
reg save HKLM\SAM        C:\evidence\SAM.hiv
reg save HKLM\SYSTEM     C:\evidence\SYSTEM.hiv
reg save HKLM\SOFTWARE   C:\evidence\SOFTWARE.hiv
reg save HKLM\SECURITY   C:\evidence\SECURITY.hiv
reg save HKLM\DEFAULT    C:\evidence\DEFAULT.hiv
```
- [A REVERIFIER]
- Pour le profil utilisateur (HKCU) si la session est verrouillée, copier NTUSER.DAT depuis le dossier de profil :
```
copy "C:\Users\<username>\NTUSER.DAT" C:\evidence\NTUSER_<username>.dat
```
- Ou, si le SID est monté sous HKU, on peut reg save HKU\<SID> C:\evidence\NTUSER_<sid>.hiv.
  
  ⚠️ reg save HKCU ... fonctionne uniquement pour la session utilisateur en cours. Pour une capture hors-session, sauvegarder le fichier NTUSER.DAT.

Nom de l’ordinateur

HKLM\SYSTEM\ControlSet00x\Control\ComputerName\ComputerName

Fuseau horaire

HKLM\SYSTEM\CurrentControlSet\Control\TimeZoneInformation

Version de Windows / Build / BuildLabEx

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
  - ProductName
  - CurrentBuild
  - BuildLabEx

Date d’installation
```
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\InstallDate
```
(DWORD — timestamp UNIX : convertir en date lisible)

Architecture

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
  - BuildLabEx
  - ProductName

Périphériques USB

HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR