Zum Inhalt springen
Kein UploadAmcache.hve, auf Ihrem Rechner analysiert

Amcache Parser: jedes Programm, das Windows inventarisiert hat

Online-Amcache-Parser für Windows-Amcache.hve-Registry-Hives. Läuft vollständig im Browser per WebAssembly — nichts wird hochgeladen.

  • Rust → WebAssembly
  • Dateien bleiben im Browser
  • ZIP- & KAPE-Sammlungen
  • CSV- / JSON-Export

Sie suchen Eric Zimmermans AmcacheParser-CLI? Vollständigen Leitfaden lesen →

Amcache.hve hier ablegen oder klicken, um eine Datei zu wählenAmcache.hve · Ordner · ZIP-SammlungBeispiel: ein synthetisches Amcache.hve aus einem fiktiven Einbruch (Host FIN-WKS-07). Keine echten Daten. Tipp: m64.exe öffnen und den Zeitraum darauf zentrieren (±5 Min.), um den Einbruch einzugrenzen.

100 % clientseitig. Die Datei wird im Speicher gelesen und nie an einen Server gesendet.

So kommen Sie an Ihre Daten

Vollständige Sicherungsanleitung →
  1. SichernEinen Befehl unten ausführen
  2. AblegenDatei, Ordner oder ZIP hier
  3. Privat bleibenNichts verlässt Ihren Browser
empfohlen

Laufender Windows-8+-Rechner · PowerShell als Administrator · nichts zu installieren (eingebautes esentutl)

PowerShell (Admin): Hive + Logs über eine Schattenkopie
$d = "C:\triage\amcache-$(Get-Date -Format yyyyMMdd-HHmmss)"
New-Item -ItemType Directory -Force -Path $d | Out-Null
foreach ($f in 'Amcache.hve','Amcache.hve.LOG1','Amcache.hve.LOG2') {
  esentutl.exe /y /vss "C:\Windows\AppCompat\Programs\$f" /d "$d\$f"
}
Invoke-Item $d

Kopiert Amcache.hve, .LOG1 und .LOG2 über eine Volumeschattenkopie (die Live-Datei ist gesperrt) in einen neuen Ordner C:\triage\amcache-… und öffnet ihn im Explorer. Ziehen Sie diesen Ordner oder nur Amcache.hve auf die Ablagefläche.

Stolperfallen

  • Als Administrator ausführen. Ein einfaches copy oder Kopieren im Explorer scheitert am Live-Hive (Datei in Verwendung) oder liefert eine leere bzw. mit Nullen gefüllte Datei, die die Ablagefläche als „Nur Nullen“ meldet. Den Schattenkopie-Befehl oder ein Triage-Tool verwenden.
  • .LOG1 / .LOG2 werden erkannt, hier aber nicht eingespielt. Ist der Hive „dirty“, können die neuesten Einträge fehlen: zuerst die Logs einspielen (rla.exe, Registry Explorer), dann den Hive ablegen.
  • Windows 7 / Server 2008 R2 hat keine Amcache.hve: RecentFileCache.bcf ist ein anderes Format und wird hier nicht geparst.
Für die Triage gebaut

Vom Hive zur Antwort mit einem Drop

Amcache protokolliert, was auf einem Windows-Host landet: Pfad, Größe, Herausgeber, PE-Linkdatum und SHA-1 jeder ausführbaren Datei. Der Parser macht daraus etwas, das Sie durchsuchen können.

  • SHA-1-Pivots

    Die FileId jedes Dateieintrags wird zu einem sauberen SHA-1 dekodiert, mit Ein-Klick-Suche in VirusTotal und MalwareBazaar.

  • Datei ↔ Programm-Korrelation

    InventoryApplicationFile wird über ProgramId mit InventoryApplication verknüpft, verwaiste Programme erscheinen als „nicht zugeordnet“.

  • Risikohinweise

    Unsignierte PEs, ausführbare Dateien unter Temp, AppData, ProgramData oder Users\Public und unsignierte Treiber werden markiert.

  • Zeitachse

    Sortieren Sie jede Kategorie nach dem letzten Schreibzeitpunkt des Schlüssels, um nachzuvollziehen, wann Software ankam.

  • Triage-Sammlungen

    Legen Sie ein KAPE- oder Velociraptor-ZIP oder einen ganzen Ordner ab: Amcache-Hives werden gefunden, übersprungene Dateien erklärt.

  • Gespeicherte Sitzungen

    Ihre Analyse wird automatisch in diesem Browser gespeichert (IndexedDB). Sitzungen benennen und später wieder öffnen — nichts verlässt den Rechner.

Inhalt

Die Kategorien, die Amcache speichert

  1. InventoryApplicationFileAuf der Festplatte gesehene Programme: vollständiger Pfad, SHA-1, Größe, Herausgeber, Version, PE-Linkdatum.
  2. InventoryApplicationInstallierte Programme: Name, Herausgeber, Version, Installationsdatum, Deinstallationsbefehl.
  3. InventoryDriverBinaryKerneltreiber mit Signaturstatus, Hash und Zeitstempeln — nützlich für BYOVD-Hunts.
  4. InventoryDevicePnpPlug-and-Play-Geräte, einschließlich angeschlossener USB-Datenträger.
  5. InventoryApplicationShortcutStartmenü-Verknüpfungen zu installierten Programmen.
  6. File / Programs (Windows 8)Das alte Schema früher Amcache-Versionen, mit denselben Pivots analysiert.
So funktioniert es

Drei Schritte, null Uploads

  1. 01

    Sichern

    Kopieren Sie Amcache.hve mit den .LOG-Dateien (KAPE, Velociraptor, FTK Imager oder VSS-Kopie).

  2. 02

    Ablegen

    Legen Sie den Hive, einen Ordner oder ein Sammlungs-ZIP ab. Der WebAssembly-Parser läuft in einem Worker im Speicher.

  3. 03

    Jagen

    Filtern, sortieren, über Hashes pivotieren und als CSV oder JSON für Ihre Zeitachse exportieren.

Verwandte Tools

Artefakte, die die nächste Frage im selben Fall beantworten.

Häufige Fragen von Analysten

Beweist Amcache, dass ein Programm ausgeführt wurde?

Nicht allein. Seit Windows 10 ist Amcache ein Inventar: Es belegt, dass eine Datei vorhanden war und gescannt wurde. Bestätigen Sie Ausführung mit Prefetch, ShimCache, SRUM oder Ereignisprotokollen.

Wird meine Amcache.hve irgendwohin hochgeladen?

Nein. Die Datei wird von einem WebAssembly-Parser in Ihrem Browser-Tab gelesen. Gespeicherte Sitzungen liegen in der IndexedDB Ihres Browsers und werden nie an einen Server gesendet.

Kann ich eine KAPE- oder Velociraptor-Sammlung ablegen?

Ja. Legen Sie das ZIP oder den entpackten Ordner ab: Jede Amcache.hve wird analysiert, andere Dateien werden mit Grund für das Überspringen aufgelistet.

Was ist mit den .LOG1- / .LOG2-Dateien?

Sie werden erkannt, aber nicht eingespielt. Ist der Hive „dirty“, spielen Sie die Transaktionsprotokolle zuerst ein (z. B. mit rla.exe), sonst fehlen die neuesten Einträge.

Wie unterscheidet sich das von Eric Zimmermans AmcacheParser?

Die Spalten folgen der CSV-Ausgabe von AmcacheParser, Exporte passen also in bestehende Workflows. Dieses Tool ergänzt Filter, Risikohinweise und Hash-Pivots im Browser, ohne Installation.

Öffnen Sie jetzt Ihre Amcache.hve

Kein Konto, keine Installation, kein Upload.

Hive ablegen