View source for Windows Registry

Think of it as Windows' internal brain; tempat nyimpen semua config dan setting dari:
*Hardware (printer, USB, network)
*Software (program terinstall)
*User info (akun, recent files, preferences)
*System settings (startup apps, drivers, dll)

= Struktur Registry = 
Windows Registry disusun kayak folder-folder, tapi bukan file biasa. Ada 3 komponen penting:
{| class="wikitable" style="margin:left"
|-
! Komponen !! Deskripsi
|-
| 🗂️ Keys || Mirip folder — tempat nyimpen "subkey" dan "values"
|-
| 🧾 Values || Data di dalam Key. Bisa angka, string, path, atau binary 
|-
| 📦 Hives || Sekumpulan keys + values, disimpen sebagai file fisik di disk (kayak NTUSER.DAT, SYSTEM, dll)
|} 

= 5 Root Keys Penting =
#HKEY_CURRENT_USER (HKCU)
#:Config spesifik buat user yang lagi login sekarang.
#:Isinya:
#:*Folder user (Desktop, Documents, dsb)
#:*Warna tema, wallpaper, font
#:*Setting Control Panel
#:*Software preferences
#:🕵️‍♀️ Forensik vibes: Di sinilah biasanya malware ninggalin jejak config user (kayak autorun script user-level).
#HKEY_USERS (HKU)
#:Semua user profile yang lagi loaded di sistem.
#:Isinya Subkey buat tiap user, contoh:
#:*S-1-5-21-... ➜ ID user
#:*S-1-5-18 ➜ SYSTEM
#:*S-1-5-19 ➜ Local Service
#:HKCU itu shortcut ke salah satu key di sini (user yang aktif). Gunanya bisa buat baca config user lain walau kita bukan user itu (kalau kita punya aksesnya)
#HKEY_LOCAL_MACHINE (HKLM)
#:Config global buat seluruh komputer, bukan cuma satu user.
#:Isinya:
#:*Info hardware
#:*Driver
#:*Installed software
#:*Startup apps (biasanya malware suka nyelip di sini)
#:*Security policy
#:*Services
#:Sering dianalisis saat nyari persistence malware atau settingan yang ngepengaruhi semua user.
#HKEY_CLASSES_ROOT (HKCR)
#:Merged view buat file association dan class registration (alias: apa yang kebuka pas double-click file .txt).
#:Isinya campuran dari:
#:*HKLM\Software\Classes ➜ Default untuk semua user
#:*HKCU\Software\Classes ➜ Override user spesifik
#:Note: Kalau kita nulis ke HKCR, Windows akan milih sendiri tempatnya:
#:*Kalau key-nya udah ada di HKCU, dia tulis di sana
#:*Kalau belum, dia tulis ke HKLM
#:Ini penting buat nge-track hijack file association. Contoh: malware bikin file .pdf dibuka pakai exe mereka.
#HKEY_CURRENT_CONFIG (HKCC)
#:Isinya config hardware profile aktif saat ini (kayak monitor, display settings, printer). Ini bukan setting tetap, tapi kayak cache/snapshot dari HKLM pas boot. Berguna kalau kita nyari setting hardware yang cuma muncul pas kondisi tertentu (e.g. safe mode, boot pakai profil X).

= Registry Hive =
Registry Windows adalah database yang menyimpan pengaturan sistem, konfigurasi aplikasi, dan informasi pengguna. 
Kita bisa membuka Registry Editor (regedit.exe) dan melihat semua root keys (seperti HKEY_LOCAL_MACHINE, HKEY_USERS, dll)
Jika kita berada dalam live SYSTEM. Namun, kalau kita hanya memiliki disk image (salinan hard disk/partisi), 
kita perlu tahu di mana file registry (disebut hives) disimpan.

== Registry Hives Utama (Lokasi: C:\Windows\System32\Config) ==
File-file berikut adalah hive registry utama yang terkait dengan sistem:
*'''DEFAULT''' → Di-mount ke HKEY_USERS\DEFAULT
*'''SAM''' → Di-mount ke HKEY_LOCAL_MACHINE\SAM
*'''SECURITY''' → Di-mount ke HKEY_LOCAL_MACHINE\SECURITY
*'''SOFTWARE''' → Di-mount ke HKEY_LOCAL_MACHINE\SOFTWARE
*'''SYSTEM''' → Di-mount ke HKEY_LOCAL_MACHINE\SYSTEM
Hive-hive ini menyimpan pengaturan sistem global, seperti konfigurasi hardware, kebijakan keamanan, dan daftar program yang terinstal.

== Hive untuk Informasi Pengguna (Lokasi: C:\Users\username\) ==
Setiap pengguna di Windows memiliki hive registry sendiri:
*NTUSER.DAT → Di-mount ke HKEY_CURRENT_USER saat pengguna login.
**Lokasi: C:\Users\username\ (file tersembunyi).
**Berisi preferensi pengguna, history program, dan pengaturan aplikasi.
*USRCLASS.DAT → Di-mount ke HKEY_CURRENT_USER\Software\CLASSES.
**Lokasi: C:\Users\username\AppData\Local\Microsoft\Windows\.
**Menyimpan informasi terkait aplikasi (seperti file associations dan COM objects).
Catatan: Kedua file ini tersembunyi (hidden), jadi pastikan untuk menampilkan file tersembunyi di Explorer.

== Amcache Hive (Lokasi: C:\Windows\AppCompat\Programs\Amcache.hve) ==
Hive ini mencatat informasi tentang program yang baru dijalankan di sistem.
Berguna untuk forensik karena bisa menunjukkan jejak aktivitas pengguna (misal: program yang dijalankan, waktu eksekusi, dll).

== Transaction Logs (.LOG) dan Backup Registry ==
*Transaction Logs (*.LOG, *.LOG1, dll):
**Terletak di folder yang sama dengan hive registry (misal: C:\Windows\System32\Config\SAM.LOG).
**Menyimpan perubahan terakhir yang belum disimpan ke hive utama.
**Berguna untuk melacak modifikasi registry yang belum terlihat di hive asli.
*Backup Registry (Lokasi: C:\Windows\System32\Config\RegBack):
**Windows secara otomatis membuat backup registry setiap 10 hari.
**Jika ada registry yang dihapus/dimodifikasi, Anda bisa memeriksa backup ini untuk memulihkan data lama.

Penting untuk forensics, Registry forensics bisa mengungkap:
*Program yang dijalankan (dari Amcache/NTUSER.DAT).
*Perubahan sistem mencurigakan (dari SOFTWARE/SYSTEM hive).
*Jejak aktivitas pengguna (history, file terakhir dibuka, dll).
Selalu periksa file tersembunyi (seperti NTUSER.DAT) dan log/backup untuk bukti tambahan.