¿Qué es el formato de archivo EVT?
.evt es el formato legado del registro de eventos de Windows introducido con Windows NT 3.1 en 1993 y utilizado hasta Windows XP y Windows Server 2003. Tres canales de registro integrados - System, Application y Security - almacenaban registros en archivos .evt guardados en %SystemRoot%\System32\config\.
Cada archivo comienza con un encabezado de 48 bytes identificado por la firma de cuatro bytes LfLe (hex 4C 66 4C 65). Cada entrada EVENTLOGRECORD de longitud variable comienza con los mismos bytes en formato little-endian (0x654C664C) y cierra con una copia repetida de la longitud total del propio registro, lo que permite el recorrido bidireccional. Las cadenas de texto dentro de los registros están codificadas como UTF-16 LE. El espacio de búfer no utilizado se rellena con el valor centinela 0x00000027.
El registro funciona como un búfer circular: cuando se alcanza el tamaño máximo configurable (por defecto 512 KB), el archivo sobrescribe las entradas más antiguas o detiene la grabación, según la política del administrador.
Microsoft reemplazó .evt con .evtx - el registro de eventos de Windows basado en XML - a partir de Windows Vista y Server 2008 en 2007. El Visor de eventos de Windows moderno puede abrir archivos .evt en modo de compatibilidad. El diseño binario completo está documentado en la especificación del protocolo [MS-EVEN] en Microsoft Learn.
Seguridad y protección
RIESGO: LOWLos archivos EVT contienen datos de registro, no contenido ejecutable. Sin embargo, las cadenas de eventos pueden contener datos controlados por un atacante (por ejemplo, inyectados mediante envenenamiento de registros); los analistas deben tratar las cadenas de contenido como entradas no confiables al analizarlas. En informática forense, la manipulación de registros (borrado o truncamiento de archivos EVT) es en sí misma un indicador de compromiso - verifique el registro de Security para el ID de evento 517/1102 (registro de auditoría borrado).
Detalles del formato
en pocas palabrasProgramas que abren archivos EVT
Windows4 apps
Windows Event Viewer
Integrado Abra eventvwr.msc, luego Acción > Abrir registro guardado, navegue hasta el archivo .evt.
Microsoft Log Parser 2.2
Gratis Use el comando: LogParser.exe "SELECT * FROM file.evt" -i:EVT -o:CSV > output.csv
EVTXECmd (Eric Zimmermann Tools)
Gratis EVTXECmd.exe -f file.evt --csv output\ - exporta a CSV/JSON para análisis.
LibEVT (libyal)
Código abierto Biblioteca de línea de comandos para analizar archivos EVT en Windows/Linux/macOS. 
Linux1 app
LibEVT (libyal)
Código abierto Biblioteca de línea de comandos para analizar archivos EVT en Windows/Linux/macOS. Detalles técnicos
especificación profunda| Tipo de archivo | Registro de eventos estructurado binario (Windows legado) |
| Desarrollador | Microsoft Corporation |
| Codificación | Binario, little-endian |
| Codificación de cadenas | UTF-16 LE (cadenas de mensajes de eventos) |
| Firma del encabezado del archivo | LfLe (hex 4C 66 4C 65) en el desplazamiento 0; el encabezado es de 48 bytes |
| Firma del registro | 0x654C664C (eLfL) al inicio de cada EVENTLOGRECORD |
| Estructura del registro | EVENTLOGRECORD de longitud variable; longitud total repetida al final para recorrido bidireccional |
| Modelo de búfer | Circular - sobrescribe las entradas más antiguas o se detiene cuando se alcanza el tamaño máximo (configurable por política) |
| Tamaño máximo de archivo predeterminado | 512 KB (configurable por el administrador) |
| Relleno de espacio no utilizado | Valor centinela 0x00000027 |
| Canales de registro | System, Application, Security (tres registros integrados) |
| SO compatible | Windows NT 3.1 hasta Windows XP y Windows Server 2003 |
| Reemplazado por | .evtx (Registro de eventos XML de Windows), introducido en Windows Vista / Server 2008 (2007) |
| Documentación del formato | Especificación del protocolo [MS-EVEN] (Microsoft Learn) |
| Compatibilidad moderna | El Visor de eventos de Windows abre archivos .evt en modo de compatibilidad en Vista y versiones posteriores |
| Lanzado | 1993 (Windows NT 3.1) |
| Última versión | N/A - deprecated; replaced by EVTX in Windows Vista (2007) |
| Especificación | learn.microsoft.com |
Conversiones de EVT
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos EVT.
