¿Qué es el formato de archivo HVE?
Un archivo .hve es una colmena del Registro de Windows, una base de datos binaria que almacena claves y valores del registro en el formato regf de Microsoft. Ese formato ha sido parte de Windows desde Windows NT 3.1 en 1993. Cada colmena se abre con un bloque base de 4096 bytes cuyos primeros cuatro bytes se leen como regf, seguidos por contenedores de colmena (hive bins) que contienen las claves, valores y descriptores de seguridad reales.
La mayoría de las colmenas principales de Windows, como SYSTEM, SOFTWARE y NTUSER.DAT, utilizan este mismo formato sin ninguna extensión. La extensión explícita .hve aparece principalmente en Amcache.hve, un archivo en C:\Windows\appcompat\Programs que registra qué programas se han ejecutado, junto con sus rutas, marcas de tiempo y, a menudo, un hash SHA-1. Eso lo convierte en un artefacto favorito para los analistas forenses.
Seguridad y protección
RIESGO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Detalles del formato
en pocas palabrasNOMBRE COMPLETOWindows Registry Hive Filetambién conocido como Registry hive, REGF hive
DESARROLLADORMicrosoftdesde 1993 (Windows NT 3.1; regf format)
CATEGORÍAArchivos de sistema
TIPO MIMEapplication/octet-stream
TIPOBinary hierarchical database (registry hive)
Esta extensión también es utilizada por…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · FIRMA DE ARCHIVO
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programas que abren archivos HVE
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratis Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratis Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Código abierto Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Integrado In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratis Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Código abierto Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Código abierto Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Código abierto Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Detalles técnicos
especificación profunda| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Lanzado | 1993 (Windows NT 3.1; regf format) |
| Última versión | Format version 1.5 (minor) |
| Especificación | github.com |
Conversiones de HVE
Posible
.HVE .REGConvertidor en línea
Sí - un hive .hve puede exportarse a un archivo de texto .reg que regedit puede leer y fusionar.
Cómo convertir
.HVE .CSVGUÍA
Sí - un hive de registro .hve puede ser analizado y exportado a un archivo .csv compatible con hojas de…
Cómo convertir
.HVE .TXTConvertidor en línea
Sí - un hive .hve puede renderizarse como un informe .txt legible con herramientas forenses de registro.
Cómo convertir
.HVE .JSONGUÍA
Sí - una colmena .hve se puede analizar en un .json estructurado utilizando bibliotecas de registro fuera de…
Cómo convertir
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos HVE.
Preguntas frecuentes
¿Qué es un archivo Amcache.hve?
Amcache.hve es el archivo
.hve más común. Es una colmena del Registro de Windows almacenada en C:\Windows\appcompat\Programs que registra qué programas se han ejecutado, incluyendo su ruta completa, marcas de tiempo y, a menudo, un hash SHA-1. Es ampliamente utilizado en informática forense digital.¿Cómo abro un archivo .hve?
Utilice un visor de registro. Registry Explorer de Eric Zimmerman abre una colmena
.hve fuera de línea para navegar, o puede montarla en regedit con Archivo > Cargar colmena. Para el análisis automatizado, use AmcacheParser o RegRipper.¿Puedo abrir un archivo .hve haciendo doble clic en él?
No. Windows no asocia
.hve con un visor, y una colmena es una base de datos binaria en lugar de un documento. Debe cargarla en un visor de registro o en un analizador forense.¿Es seguro eliminar un archivo .hve?
No si el sistema lo está utilizando. Eliminar o mover una colmena de registro activa puede dañar las aplicaciones o impedir que Windows arranque. Una copia suelta dejada por una exportación forense se puede eliminar de forma segura.
¿Cuál es la diferencia entre un archivo .hve y un archivo de registro .dat?
Ambos utilizan el mismo formato de colmena regf.
NTUSER.DAT y UsrClass.dat son colmenas por usuario con la extensión .dat, mientras que .hve etiqueta con mayor frecuencia a Amcache.hve. La estructura interna es idéntica.¿Por qué no puedo abrir un archivo .hve en un sistema Windows en ejecución?
Las colmenas activas están bloqueadas por el sistema operativo. Trabaje sobre una copia capturada con una herramienta forense, o use la opción Cargar colmena de
regedit en una copia fuera de línea.Referencias
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
