Beiträge mit dem Tag „forensics“

• Amcache-Forensik: Ausführungsbeweise finden

  Mit Amcache.hve belegen, dass ein Programm lief: sammeln, parsen, filtern, per SHA-1 pivotieren, bestätigen — plus die Grenzen, die Analysten überraschen.

  2026-06-12

• Wo ist der Amcache-Registry-Schlüssel?

  Amcache ist eine eigene Hive-Datei, kein Schlüssel unter HKLM. Bei Bedarf vom Appraiser geladen. Aktiv eingehängt unter HKLM\Amcache.

  2026-05-24

• Ist Amcache.hve eine Protokolldatei?

  Nein. Es ist eine Registry-Hive im selben Binärformat wie SYSTEM und NTUSER.DAT. Ein Baum typisierter Keys, kein flacher Append-Only-Stream.

  2026-05-24

• Wie oft wird Amcache aktualisiert?

  Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Servern. Wochen auf Server Core. Amcache hinkt der Realität hinterher. Planen Sie Timelines entsprechend.

  2026-05-24

• Was ist SRUM (SRUDB.dat)? (Glossar)

  SRUM ist die ESE-Datenbank, mit der Windows die Ressourcennutzung pro Anwendung stündlich über 30 bis 60 Tage verfolgt. Das einzige Windows-Artefakt mit Netzwerk-Byte-Summen pro App. Kritisch für Exfiltration.

  2026-05-24

• Was ist Shimcache (AppCompatCache)? (Glossar)

  Shimcache ist der vom Kernel verwaltete Loader-Cache in der SYSTEM-Hive. 1024 Einträge, kein Hash, bis zum Neustart veraltet. Anders als Amcache; paaren Sie sie.

  2026-05-24

• Was ist Amcache ProgramId? (Glossar)

  ProgramId ist der 44-Zeichen-Anwendungs-Identitätshash, den Amcache speichert. Über Hosts hinweg stabil bei derselben Installation. Erwischt Neukompilierungen und Umbenennungen, wo Hash daneben liegt.

  2026-05-24

• Was ist Windows Prefetch? (Glossar)

  Windows Prefetch ist das Verzeichnis der .pf-Dateien, das Ausführung beweist. Bis zu 8-10 Laufzeiten pro Binary plus die in den ersten zehn Sekunden geladenen Dateien. Der stärkste Windows-Ausführungsnachweis.

  2026-05-24

• Was ist LinkDate in Amcache? (Glossar)

  LinkDate ist der PE-TimeDateStamp. Angreiferkontrollierbar. Verwenden Sie ihn für Build-Clustering, nicht für Host-Zeitlinien.

  2026-05-24

• Was ist KeyLastWriteTimestamp in Amcache? (Glossar)

  Die Registry-Schreibzeit des Amcache-Keys. Das Nächste an 'wann der Appraiser das aufgezeichnet hat'. Das Feld, das neue Analysten am häufigsten mit LinkDate verwechseln.

  2026-05-24

• Was ist Root\InventoryApplicationFile? (Glossar)

  Der Hauptschlüssel in Amcache. Ein Unterschlüssel pro PE, das der Appraiser inventarisiert hat, mit Hash, Pfad, Hersteller, Linkdatum und einem Registry-Schreibzeitstempel. Wo 90 % der Analystenzeit verbracht werden.

  2026-05-24

• Was ist Amcache FileId? (Glossar)

  FileId ist '0000' plus der SHA-1 der ersten 31 MiB der Datei. Streifen Sie das Präfix ab, bevor Sie zu VirusTotal gehen, sonst kommt still nichts zurück.

  2026-05-24

• Was ist DFIR-Triage? (Glossar)

  Triage ist der schnelle Durchgang, der entscheidet, ob ein Host eine vollständige Untersuchung verdient. Amcache ist eines der billigsten, produktivsten Artefakte im Triage-Kit.

  2026-05-24

• Was ist der Compatibility Appraiser? (Glossar)

  Die geplante Aufgabe, die das Dateisystem durchläuft, PE-Dateien inventarisiert und die Datensätze in Amcache.hve schreibt. Verstehen Sie ihre Kadenz, oder lesen Sie Ihre Timeline falsch.

  2026-05-24

• Was ist BYOVD (Bring-Your-Own-Vulnerable-Driver)? (Glossar)

  BYOVD ist der Trick, einen signierten, aber fehlerhaften Kerneltreiber zu laden, um Ring 0 zu erlangen, ohne Driver Signature Enforcement zu umgehen. Die Treibereinträge in Amcache sind, wie Sie es erkennen.

  2026-05-24

• Was ist Amcache.hve? (Glossar)

  Amcache.hve ist die Windows-Hive, in die der Compatibility Appraiser jede gefundene PE einträgt, mit SHA-1, vollständigem Pfad, Herausgeber und Inventarzeitstempel. Überlebt die Binärdatei, die sie aufzeichnet.

  2026-05-24

• Amcache FileId erklärt: das SHA-1-Hash-Format, das Windows speichert

  FileId ist '0000' plus der SHA-1 der ersten 31 MiB. Streifen Sie das Präfix ab, sonst liefern Ihre VirusTotal-Abfragen still nichts. Die vollständige Referenz, mit den Fallen.

  2026-05-24

• Beweise gelöschter Binärdateien aus Amcache wiederherstellen

  Amcache überlebt die Binärdateien, die sie erfasst. Pfad, SHA-1, Herausgeber, Linkdatum und Inventarzeit halten sich monatelang, nachdem der Angreifer die Datei gewischt hat. Der praktische Workflow.

  2026-05-24

• Amcache: die vollständige forensische Referenz der Windows-.hve-Hive

  Die vollständige Amcache.hve-Referenz: was der Appraiser pro PE festhält — SHA-1, Pfad, Herausgeber, Linkdatum — vom Format bis zur Praxis.

  2026-05-24

• Amcache verstehen: was es ist und warum DFIR sich dafür interessiert

  Was Amcache.hve aufzeichnet, wie der Appraiser es aufbaut, welche Keys zählen und warum es eines der reichsten Einzelartefakte im Windows-DFIR ist.

  2026-05-10