Glossaire
Ruche sale (dirty hive)
Une ruche de registre dont le fichier principal ne contient pas encore des écritures conservées dans ses journaux .LOG1/.LOG2, détectée par des numéros de séquence différents.
Windows écrit les modifications du registre dans des journaux de transactions (.LOG1, .LOG2) avant de les fusionner dans le fichier principal de la ruche. Une ruche copiée avant cette fusion est « sale » : les deux numéros de séquence de son bloc de base diffèrent, et les clés ou valeurs les plus récentes peuvent n'exister que dans les journaux.
Pour les ShellBags, cela signifie que les dossiers les plus récents peuvent manquer. Collectez les journaux avec la ruche et rejouez-les (par exemple avec rla.exe) avant l'analyse. Le ShellBags Parser signale les ruches sales mais ne rejoue pas encore les journaux. Voir où sont stockés les ShellBags.