Kann Amcache von Angreifern gelöscht werden?

Ja — aber die Bereinigung ist nachweisbar. Ein Angreifer mit administrativen Rechten kann Amcache.hve löschen, einzelne Einträge darin bearbeiten oder den geplanten Task Compatibility Appraiser deaktivieren. Keine dieser Optionen ist still. Drei unabhängige forensische Quellen bewahren in der Regel den vorherigen Zustand:

1. Volume Shadow Copies — punktuelle Snapshots des Volumes, die von VSS angefertigt werden, typischerweise für eine bis mehrere Wochen aufbewahrt. Jeder Schatten hat seine eigene Kopie von Amcache.hve.
2. Registry-Transaktionsprotokolle — Amcache.hve.LOG1 und Amcache.hve.LOG2 können jüngste Schreibvorgänge bewahren, die ein Angreifer zu löschen vergessen hat.
3. Wiederherstellungs-Zeit-Signatur — eine nach dem Löschen frisch wiederhergestellte Hive hat eine KeyLastWriteTimestamp-Verteilung, die abrupt zur Wiederherstellungszeit beginnt, ohne Einträge, die Monate zurückreichen, wie Sie es auf einem langlebigen Host erwarten würden.

Wie Angreifer es typischerweise versuchen#

Drei Ansätze, in steigender Subtilität:

1. Hive und ihre Logs löschen#

# (Attacker action — not for defenders to run)
Remove-Item 'C:\Windows\AppCompat\Programs\Amcache.hve*' -Force

Laut. Der nächste Appraiser-Durchlauf erstellt die Hive neu — leer bis auf das, was gerade läuft. Die Wiederherstellungs- Signatur ist für jeden Verteidiger, der weiß, wonach zu suchen ist, offensichtlich.

2. Einzelne Einträge bearbeiten#

Der Angreifer lädt die Hive (z. B. als Unterbaum von HKLM) und löscht bestimmte InventoryApplicationFile-Unterschlüssel, die seinem Tooling entsprechen.

Subtiler, aber die Registry-Transaktionsprotokolle können die ursprünglichen Schreibvorgänge noch enthalten, und Volume Shadow Copies halten die Hive vor der Manipulation.

3. Den Appraiser deaktivieren#

HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection
  AllowTelemetry = REG_DWORD 0

Oder den geplanten Task unter \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser deaktivieren.

Die Hive wird nicht modifiziert — sie hört nur auf zu aktualisieren. Ein Verteidiger, der die LastRunTime des Appraisers nicht prüft, bemerkt das möglicherweise nicht.

Wie man Manipulation erkennt#

Der Verteidiger-Workflow:

1. Parsen Sie die Live-Amcache.hve und erfassen Sie die KeyLastWriteTimestamp-Verteilung (frühestens, spätestens, Dichte pro Woche).
2. Listen Sie Volume Shadow Copies auf und parsen Sie die Kopie der Hive jedes Schattens. Vergleichen Sie mit der Live-Hive.
3. Prüfen Sie den geplanten Task — LastRunTime, State, Verlauf.
4. Prüfen Sie die GPO — AllowTelemetry, verwandte DataCollection-Werte.

Eine Live-Hive mit einem KeyLastWriteTimestamp, der vor einigen Wochen abrupt endet, auf einem Host, von dem Sie wissen, dass er läuft und neue Software sieht, ist verdächtig. Vergleichen Sie mit Schatten, um zu bestätigen, was fehlt.

Für den vollständigen Anti-Forensik-Workflow siehe Wiederherstellung gelöschter Binärprogramm-Beweise aus Amcache.

Wie häufig ist das?#

Selten. Commodity-Malware und die meisten APT-Toolkits machen sich nicht die Mühe, Amcache zu bereinigen. Das Artefakt ist unter allgemeinen Malware-Autoren nicht weit bekannt, und eine effektive Bereinigung erfordert Windows-Internals-Wissen, das die meisten Akteure nicht haben.

Wenn Sie doch Anzeichen einer Amcache-Manipulation sehen, behandeln Sie es als starkes Signal für einen ausgefeilteren Akteur — und achten Sie verstärkt auf benachbarte Artefakte (ShimCache, Sysmon, EDR-Telemetrie) auf ähnliche Manipulation.