HKEY_USERS è un'area del registro di Windows che espone gli hive utente caricati per la sessione corrente. Ogni sottochiave in genere corrisponde a un identificatore di sicurezza (SID) e rappresenta le impostazioni archiviate nel registro per un utente che ha effettuato l'accesso o il cui hive è stato caricato dal sistema o da un amministratore.
Questa chiave è importante perché mostra quali profili utente sono attivi e come le loro impostazioni vengono montate nello spazio dei nomi del registro. Negli attacchi, l'abuso del caricamento dei profili o del montaggio degli hive può rendere disponibile sotto HKEY_USERS lo stato del registro di un altro account, il che può aiutare un attaccante a leggere, modificare o impersonare la configurazione specifica dell'utente. In difesa, i team di sicurezza monitorano caricamenti inattesi di hive, voci SID insolite e attività del registro che attraversa i confini tra account, poiché questi schemi possono indicare un uso improprio di meccanismi legittimi dei profili di Windows piuttosto che un malware evidente.