EVT (journal d'événements Windows, legacy) : fichier .evt

Le EVT est le format binaire utilisé par le service de journalisation d’événements de Windows 2000, XP et Server 2003, avant l’introduction du EVTX basé sur XML à partir de Windows Vista. Chaque fichier commence par une structure d’en-tête fixe (ELF_LOGFILE_HEADER), suivie d’un nombre variable d’enregistrements d’événements de taille variable.

Sa signature ne se trouve pas à l’offset 0 : les quatre premiers octets encodent la taille de l’en-tête (toujours 0x30), et c’est seulement à partir de l’offset 4 qu’apparaît la chaîne “LfLe” (4C 66 4C 65, pour “Event Log File”) qui identifie réellement le format, un détail qui piège un identifieur trop simpliste ne vérifiant que le tout début du fichier.

L’en-tête conserve également l’index du plus ancien enregistrement encore présent et un indicateur de rotation (“wrap”), le journal EVT fonctionnant en tampon circulaire de taille fixe : une fois la taille maximale atteinte, les enregistrements les plus anciens sont écrasés par les nouveaux.

Le format est aujourd’hui obsolète pour la production de nouveaux journaux (tout Windows depuis Vista écrit nativement en EVTX), mais reste rencontré en analyse forensique sur des systèmes anciens ou des archives de journaux jamais migrées.