Glosario
Hive sucio (dirty hive)
Un hive del registro cuyo archivo principal aún no contiene escrituras guardadas en sus registros .LOG1/.LOG2, detectado porque sus números de secuencia no coinciden.
Windows escribe los cambios del registro en registros de transacciones (.LOG1, .LOG2) antes de fusionarlos en el archivo principal del hive. Un hive copiado antes de esa fusión está «sucio»: los dos números de secuencia de su bloque base difieren, y las claves o valores más recientes pueden existir solo en los registros.
En los ShellBags, eso significa que pueden faltar las carpetas más recientes. Recoja los registros junto al hive y reprodúzcalos (por ejemplo con rla.exe) antes del análisis. ShellBags Parser señala los hives sucios pero aún no reproduce los registros. Véase dónde se guardan los ShellBags.