Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Que signifie le chemin '\REGISTRY\A\...' dans le journal Sysinternals Procmon ?

ayi

J’utilise l’utilitaire Sysinternals Procmon pour surveiller l’accès au registre par certains programmes. La plupart des entrées du journal ont la propriété Path commençant par <code>HKCU\…</code> ou <code>HKLM\…</code>, ce qui correspond aux ruches de registre <code>HKEY_CURRENT_USER</code> et <code>HKEY_LOCAL_MACHINE</code> visibles dans Regedit. Mais certaines entrées ont le chemin commençant par <code>\REGISTRY\A\…</code> :
Pourriez-vous expliquer de quelle partie du registre il s’agit ? Puis-je la voir en utilisant Regedit ou un autre utilitaire ? Puis-je y accéder par programmation ?
J’utilise Windows 8.1 Enterprise x64.
MISE À JOUR : J’ai contacté les développeurs de Procmon et ils m’ont dirigé vers les ressources MSDN suivantes couvrant cette question :
<ul>
<li>
<a href="http://msdn.microsoft.com/en-us/library/windows/hardware/jj673019(v=vs.85).aspx" rel="noopener nofollow ugc">Filtering Registry Operations on Application Hives</a>
</li>
<li>
<a href="http://msdn.microsoft.com/en-us/library/windows/desktop/ms724886(v=vs.85).aspx" rel="noopener nofollow ugc">RegLoadAppKey function</a>
</li>
</ul>

ayi_2

C’est une ruche d’application (application hive), qui peut être vue dans Volatility par l’absence de nom ! 
Les ruches d’application sont des ruches de registre chargées par des applications en mode utilisateur pour stocker des données d’état spécifiques à l’application. Une application appelle la fonction <code>RegLoadAppKey</code> pour charger une ruche d’application.
Plus d’informations sur <a>https://msdn.microsoft.com/en-us/library/windows/hardware/jj673019%28v=vs.85%29.aspx</a>