Glosario
NTUSER.DAT
El hive principal de cada usuario (HKCU). Contiene los ShellBags de Windows XP y, en versiones posteriores, un segundo árbol BagMRU más pequeño.
NTUSER.DAT, en la raíz de cada perfil (C:\Users\<user>\NTUSER.DAT), es el hive que hay detrás de HKEY_CURRENT_USER. En Windows XP contenía todos los ShellBags (Software\Microsoft\Windows\ShellNoRoam y Shell). Desde Vista mantiene su propio árbol Software\Microsoft\Windows\Shell\BagMRU, normalmente más pequeño que el de UsrClass.dat.
También contiene RecentDocs, los MRU de ComDlg32 y los valores Shell Folders que revelan el nombre de la cuenta. Analícelo siempre junto con UsrClass.dat; véase la guía completa.