Windows Registry

Think of it as Windows' internal brain; tempat nyimpen semua config dan setting dari:

• Hardware (printer, USB, network)
• Software (program terinstall)
• User info (akun, recent files, preferences)
• System settings (startup apps, drivers, dll)

Struktur Registry

Windows Registry disusun kayak folder-folder, tapi bukan file biasa. Ada 3 komponen penting:

Komponen	Deskripsi
🗂️ Keys	Mirip folder — tempat nyimpen "subkey" dan "values"
🧾 Values	Data di dalam Key. Bisa angka, string, path, atau binary
📦 Hives	Sekumpulan keys + values, disimpen sebagai file fisik di disk (kayak NTUSER.DAT, SYSTEM, dll)

5 Root Keys Penting

1. HKEY_CURRENT_USER (HKCU)

   Config spesifik buat user yang lagi login sekarang.

   Isinya:

   • Folder user (Desktop, Documents, dsb)
   • Warna tema, wallpaper, font
   • Setting Control Panel
   • Software preferences

   🕵️‍♀️ Forensik vibes: Di sinilah biasanya malware ninggalin jejak config user (kayak autorun script user-level).

2. HKEY_USERS (HKU)

   Semua user profile yang lagi loaded di sistem.

   Isinya Subkey buat tiap user, contoh:

   • S-1-5-21-... ➜ ID user
   • S-1-5-18 ➜ SYSTEM
   • S-1-5-19 ➜ Local Service

   HKCU itu shortcut ke salah satu key di sini (user yang aktif). Gunanya bisa buat baca config user lain walau kita bukan user itu (kalau kita punya aksesnya)

3. HKEY_LOCAL_MACHINE (HKLM)

   Config global buat seluruh komputer, bukan cuma satu user.

   Isinya:

   • Info hardware
   • Driver
   • Installed software
   • Startup apps (biasanya malware suka nyelip di sini)
   • Security policy
   • Services

   Sering dianalisis saat nyari persistence malware atau settingan yang ngepengaruhi semua user.

4. HKEY_CLASSES_ROOT (HKCR)

   Merged view buat file association dan class registration (alias: apa yang kebuka pas double-click file .txt).

   Isinya campuran dari:

   • HKLM\Software\Classes ➜ Default untuk semua user
   • HKCU\Software\Classes ➜ Override user spesifik

   Note: Kalau kita nulis ke HKCR, Windows akan milih sendiri tempatnya:

   • Kalau key-nya udah ada di HKCU, dia tulis di sana
   • Kalau belum, dia tulis ke HKLM

   Ini penting buat nge-track hijack file association. Contoh: malware bikin file .pdf dibuka pakai exe mereka.

5. HKEY_CURRENT_CONFIG (HKCC)

   Isinya config hardware profile aktif saat ini (kayak monitor, display settings, printer). Ini bukan setting tetap, tapi kayak cache/snapshot dari HKLM pas boot. Berguna kalau kita nyari setting hardware yang cuma muncul pas kondisi tertentu (e.g. safe mode, boot pakai profil X).

Registry Hive

Registry Windows adalah database yang menyimpan pengaturan sistem, konfigurasi aplikasi, dan informasi pengguna. Kita bisa membuka Registry Editor (regedit.exe) dan melihat semua root keys (seperti HKEY_LOCAL_MACHINE, HKEY_USERS, dll) Jika kita berada dalam live SYSTEM. Namun, kalau kita hanya memiliki disk image (salinan hard disk/partisi), kita perlu tahu di mana file registry (disebut hives) disimpan.

Registry Hives Utama (Lokasi: C:\Windows\System32\Config)

File-file berikut adalah hive registry utama yang terkait dengan sistem:

• DEFAULT → Di-mount ke HKEY_USERS\DEFAULT
• SAM → Di-mount ke HKEY_LOCAL_MACHINE\SAM
• SECURITY → Di-mount ke HKEY_LOCAL_MACHINE\SECURITY
• SOFTWARE → Di-mount ke HKEY_LOCAL_MACHINE\SOFTWARE
• SYSTEM → Di-mount ke HKEY_LOCAL_MACHINE\SYSTEM

Hive-hive ini menyimpan pengaturan sistem global, seperti konfigurasi hardware, kebijakan keamanan, dan daftar program yang terinstal.

Hive untuk Informasi Pengguna (Lokasi: C:\Users\username\)

Setiap pengguna di Windows memiliki hive registry sendiri:

• NTUSER.DAT → Di-mount ke HKEY_CURRENT_USER saat pengguna login.
  • Lokasi: C:\Users\username\ (file tersembunyi).
  • Berisi preferensi pengguna, history program, dan pengaturan aplikasi.
• USRCLASS.DAT → Di-mount ke HKEY_CURRENT_USER\Software\CLASSES.
  • Lokasi: C:\Users\username\AppData\Local\Microsoft\Windows\.
  • Menyimpan informasi terkait aplikasi (seperti file associations dan COM objects).

Catatan: Kedua file ini tersembunyi (hidden), jadi pastikan untuk menampilkan file tersembunyi di Explorer.

Amcache Hive (Lokasi: C:\Windows\AppCompat\Programs\Amcache.hve)

Hive ini mencatat informasi tentang program yang baru dijalankan di sistem. Berguna untuk forensik karena bisa menunjukkan jejak aktivitas pengguna (misal: program yang dijalankan, waktu eksekusi, dll).

Transaction Logs (.LOG) dan Backup Registry

• Transaction Logs (*.LOG, *.LOG1, dll):
  • Terletak di folder yang sama dengan hive registry (misal: C:\Windows\System32\Config\SAM.LOG).
  • Menyimpan perubahan terakhir yang belum disimpan ke hive utama.
  • Berguna untuk melacak modifikasi registry yang belum terlihat di hive asli.
• Backup Registry (Lokasi: C:\Windows\System32\Config\RegBack):
  • Windows secara otomatis membuat backup registry setiap 10 hari.
  • Jika ada registry yang dihapus/dimodifikasi, Anda bisa memeriksa backup ini untuk memulihkan data lama.

Penting untuk forensics, Registry forensics bisa mengungkap:

• Program yang dijalankan (dari Amcache/NTUSER.DAT).
• Perubahan sistem mencurigakan (dari SOFTWARE/SYSTEM hive).
• Jejak aktivitas pengguna (history, file terakhir dibuka, dll).

Selalu periksa file tersembunyi (seperti NTUSER.DAT) dan log/backup untuk bukti tambahan.