Registro de Windows: claves que cuentan historias

2 tareas · 40 min · Principiante

0 de 2 · 0%

El Registro de Windows contiene colmenas clave (SYSTEM, SOFTWARE, NTUSER.DAT, UsrClass.dat). Claves como Run/RunOnce, Shell Folders, servicios (Services) y la caché de UserAssist registran respectivamente persistencias automáticas y programas ejecutados por cada perfil de usuario individual (con nombres cifrados en ROT13 y contadores de ejecuciones).

Responde para continuar

¿Qué clave del registro en NTUSER.DAT registra el conteo de ejecuciones y fecha de uso de aplicaciones de la interfaz gráfica por un usuario?

SystemEnvironment BCD00000000 SamSecrets UserAssist

Ver pista de ayuda

La clave UserAssist registra programas lanzados desde el explorador por el usuario.

Revisa en prefetch_runs la marca temporal de last_run_time del ejecutable de PowerShell.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué fecha y hora figura en last_run_time para POWERSHELL.EXE?

Ver pista de ayuda

Copia el valor íntegro de la columna last_run_time en la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis Forense de Windows · Prefetch, Amcache & MFT

Forensic Artifact Analysis Engine (EZTools Output Parser)

Tablas

prefetch_runs

file_name
run_count
last_run_time
volume_path
source_hash

amcache_entries

sha1_hash
file_path
compile_time
pe_file_size
signer_name

timeline_gap

event_id
timestamp_utc
artifact_type
description
anomaly_flag

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Claves de persistencia y ejecución de usuario

2 Hora de la última ejecución de PowerShell Lab

Whoami-Labs Pro utiliza cookies