¿Qué es el Compatibility Appraiser? (glosario)
El Microsoft Compatibility Appraiser es una tarea programada de
Windows que periódicamente recorre el sistema, inventaria el
software instalado y presente, recopila metadatos de la cabecera
PE para cada archivo PE, y escribe los registros en el hive del
registro Amcache.hve.
Es lo único que escribe en Amcache. Si entiendes el appraiser, entiendes la cadencia, cobertura y límites de cada investigación de Amcache.
Datos clave#
- Ruta de la tarea programada:
\Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser - Cadencia de ejecución: ~24h en estaciones de trabajo Windows 10/11; 2-5 días en Server; semanalmente o más en Server Core.
- Modelo de disparador: disparadores en tiempo de inactividad más disparadores basados en tiempo con retraso aleatorio. Consciente de la energía — omite en batería.
- Salida:
C:\Windows\AppCompat\Programs\Amcache.hve(más los journals de transacciones.LOG1y.LOG2). - Propósito subyacente: telemetría del Customer Experience Improvement Program (CEIP). El inventario local existe porque el appraiser tenía que saber qué enviar a Microsoft.
Implicaciones forenses#
Dos consecuencias importan para DFIR:
- Amcache va por detrás de la realidad. Un binario dejado en un host puede no aparecer en Amcache durante hasta ~24 h (estación de trabajo) o varios días (servidor). Para precisión horaria del primer visto, usa Sysmon / Security 4688 / MFT en su lugar.
- Desactiva el appraiser, congelas Amcache. Algunos builds hardenizados y entornos de alta seguridad desactivan el appraiser (intencionadamente o vía política CEIP). En esos hosts Amcache queda congelado en el momento del desactivado y no es un artefacto útil para eventos posteriores.
Detectar manipulación#
Señales de que el appraiser ha sido desactivado:
- La tarea programada está desactivada o tiene un
LastRunTimeobsoleto. - La distribución de
KeyLastWriteTimestampdeAmcache.hvese detiene en alguna fecha sin entradas más nuevas en un host del que esperabas actividad más reciente. HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry = 0.
Para el contexto investigativo más amplio, ver Referencia completa de Amcache y Recuperar evidencia de binarios borrados desde Amcache.
Términos relacionados#
- Amcache.hve — el hive que escribe el appraiser.
- InventoryApplicationFile — la clave estrella que el appraiser puebla.
- KeyLastWriteTimestamp — la marca de tiempo de escritura del appraiser.
Para explorar un hive de Amcache sin instalar nada, suéltalo en la página de inicio del parser.
Artículos relacionados
- ¿Con qué frecuencia se actualiza Amcache?
El Compatibility Appraiser actualiza Amcache.hve aproximadamente diariamente en estaciones de trabajo Windows 10/11, cada 2-5 días en servidores, y semanalmente o más en Server Core.
- ¿Qué es Amcache ProgramId? (glosario)
ProgramId es el hash de identidad de aplicación de 44 caracteres que Amcache asigna a cada aplicación lógica. El mismo ProgramId en hosts diferentes significa la misma instalación de aplicación.
- ¿Qué es LinkDate en Amcache? (glosario)
LinkDate es el TimeDateStamp de la cabecera PE que registra Amcache — cuándo se compiló o enlazó el binario, no cuándo apareció en el host.
- ¿Qué es KeyLastWriteTimestamp en Amcache? (glosario)
KeyLastWriteTimestamp es el tiempo de última escritura a nivel del registro de una entrada de Amcache — lo más cercano que expone Amcache a 'cuándo el appraiser registró este archivo'.