Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. config
  5. SOFTWARE
FichierRisque : Ne pas toucher

SOFTWARE C:\Windows\System32\config\SOFTWARE

Ruche du Registre HKLM\SOFTWARE : paramètres de Windows et des logiciels pour tous les utilisateurs de la machine.

Mis à jour le Par AltF4 Formation

À quoi ça sert

SOFTWARE est la ruche du Registre que Windows charge au démarrage sous HKEY_LOCAL_MACHINE\SOFTWARE. Elle réunit la configuration des logiciels installés et celle de Windows qui valent pour tous les utilisateurs de la machine. Les règles communes à toutes les ruches (verrouillage, sauvegarde, modification) sont dans la fiche du dossier System32\config.

Ce qu’il contient

  • Les paramètres de Windows et des logiciels : clés Microsoft\Windows\CurrentVersion, entrées de désinstallation (Uninstall), démarrage automatique (Run, RunOnce).
  • La partie machine des associations de fichiers (Classes) et, sur un Windows 64 bits, la branche WOW6432Node des applications 32 bits.
  • Les paramètres appliqués par stratégie de groupe à la machine, sous Policies.
  • Les fichiers de transactions .LOG1 et .LOG2 peuvent se trouver à côté.

Risques et bonnes pratiques

  • C’est la ruche la plus consultée des quatre : passez toujours par la clé du Registre, jamais par le fichier.
  • Une ruche SOFTWARE corrompue empêche des composants de Windows et des applications de fonctionner. Restaurez depuis une sauvegarde système plutôt que de manipuler le fichier.
  • Les clés Run et RunOnce sont un emplacement classique de persistance des logiciels malveillants : auditez-les.

Commandes utiles

Fenêtre de terminal
# Métadonnées de la ruche (le contenu est verrouillé tant que Windows tourne)
Get-Item -Force "$env:windir\System32\config\SOFTWARE" | Select-Object Name, Length, LastWriteTime


# La ruche et ses fichiers associés (.LOG1, .LOG2, .regtrans-ms)
Get-ChildItem -Force "$env:windir\System32\config" -Filter "SOFTWARE*" | Select-Object Name, Length, LastWriteTime


# Programmes lancés au démarrage pour tous les utilisateurs
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'


# Exporter une copie hors ligne de la ruche (en administrateur)
reg save HKLM\SOFTWARE "$env:TEMP\software.hiv"

Signaler une erreur