Que signifie le chemin '\REGISTRY\A\...' dans le journal Sysinternals Procmon ?

Windows Client (10, 11, 12) Personnalisation
,
1

J’utilise l’utilitaire Sysinternals Procmon pour surveiller l’accès au registre par certains programmes. La plupart des entrées du journal ont la propriété Path commençant par HKCU\… ou HKLM\…, ce qui correspond aux ruches de registre HKEY_CURRENT_USER et HKEY_LOCAL_MACHINE visibles dans Regedit. Mais certaines entrées ont le chemin commençant par \REGISTRY\A\… :

Pourriez-vous expliquer de quelle partie du registre il s’agit ? Puis-je la voir en utilisant Regedit ou un autre utilitaire ? Puis-je y accéder par programmation ?

J’utilise Windows 8.1 Enterprise x64.

MISE À JOUR : J’ai contacté les développeurs de Procmon et ils m’ont dirigé vers les ressources MSDN suivantes couvrant cette question :

2

C’est une ruche d’application (application hive), qui peut être vue dans Volatility par l’absence de nom !
Les ruches d’application sont des ruches de registre chargées par des applications en mode utilisateur pour stocker des données d’état spécifiques à l’application. Une application appelle la fonction RegLoadAppKey pour charger une ruche d’application.

Plus d’informations sur https://msdn.microsoft.com/en-us/library/windows/hardware/jj673019%28v=vs.85%29.aspx