Beiträge mit dem Tag „forensics“

• Ist Amcache.hve eine Protokolldatei?

  Nein. Es ist eine Registry-Hive im selben Binärformat wie SYSTEM und NTUSER.DAT. Ein Baum typisierter Keys, kein flacher Append-Only-Stream.

  2026-05-24

• Wie oft wird Amcache aktualisiert?

  Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Servern. Wochen auf Server Core. Amcache hinkt der Realität hinterher. Planen Sie Timelines entsprechend.

  2026-05-24

• Was ist SRUM (SRUDB.dat)? (Glossar)

  SRUM ist die ESE-Datenbank, mit der Windows die Ressourcennutzung pro Anwendung stündlich über 30 bis 60 Tage verfolgt. Das einzige Windows-Artefakt mit Netzwerk-Byte-Summen pro App. Kritisch für Exfiltration.

  2026-05-24

• Was ist Shimcache (AppCompatCache)? (Glossar)

  Shimcache ist der vom Kernel verwaltete Loader-Cache in der SYSTEM-Hive. 1024 Einträge, kein Hash, bis zum Neustart veraltet. Anders als Amcache; paaren Sie sie.

  2026-05-24

• Was ist Amcache ProgramId? (Glossar)

  ProgramId ist der 44-Zeichen-Anwendungs-Identitätshash, den Amcache speichert. Über Hosts hinweg stabil bei derselben Installation. Erwischt Neukompilierungen und Umbenennungen, wo Hash daneben liegt.

  2026-05-24

• Was ist Windows Prefetch? (Glossar)

  Windows Prefetch ist das Verzeichnis der .pf-Dateien, das Ausführung beweist. Bis zu 8-10 Laufzeiten pro Binary plus die in den ersten zehn Sekunden geladenen Dateien. Der stärkste Windows-Ausführungsnachweis.

  2026-05-24

• Was ist LinkDate in Amcache? (Glossar)

  LinkDate ist der PE-TimeDateStamp. Angreiferkontrollierbar. Verwenden Sie ihn für Build-Clustering, nicht für Host-Zeitlinien.

  2026-05-24

• Was ist KeyLastWriteTimestamp in Amcache? (Glossar)

  Die Registry-Schreibzeit des Amcache-Keys. Das Nächste an 'wann der Appraiser das aufgezeichnet hat'. Das Feld, das neue Analysten am häufigsten mit LinkDate verwechseln.

  2026-05-24

• Was ist Root\InventoryApplicationFile? (Glossar)

  Der Hauptschlüssel in Amcache. Ein Unterschlüssel pro PE, das der Appraiser inventarisiert hat, mit Hash, Pfad, Hersteller, Linkdatum und einem Registry-Schreibzeitstempel. Wo 90 % der Analystenzeit verbracht werden.

  2026-05-24

• Was ist Amcache FileId? (Glossar)

  FileId ist '0000' plus der SHA-1 der ersten 31 MiB der Datei. Streifen Sie das Präfix ab, bevor Sie zu VirusTotal gehen, sonst kommt still nichts zurück.

  2026-05-24

• Was ist DFIR-Triage? (Glossar)

  Triage ist der schnelle Durchgang, der entscheidet, ob ein Host eine vollständige Untersuchung verdient. Amcache ist eines der billigsten, produktivsten Artefakte im Triage-Kit.

  2026-05-24

• Was ist der Compatibility Appraiser? (Glossar)

  Die geplante Aufgabe, die das Dateisystem durchläuft, PE-Dateien inventarisiert und die Datensätze in Amcache.hve schreibt. Verstehen Sie ihre Kadenz, oder lesen Sie Ihre Timeline falsch.

  2026-05-24

• Was ist BYOVD (Bring-Your-Own-Vulnerable-Driver)? (Glossar)

  BYOVD ist der Trick, einen signierten, aber fehlerhaften Kerneltreiber zu laden, um Ring 0 zu erlangen, ohne Driver Signature Enforcement zu umgehen. Die Treibereinträge in Amcache sind, wie Sie es erkennen.

  2026-05-24

• Was ist Amcache.hve? (Glossar)

  Amcache.hve ist die Windows-Hive, in die der Compatibility Appraiser jede gefundene PE einträgt, mit SHA-1, vollständigem Pfad, Herausgeber und Inventarzeitstempel. Überlebt die Binärdatei, die sie aufzeichnet.

  2026-05-24

• Beweise gelöschter Binärdateien aus Amcache wiederherstellen

  Amcache überlebt die Binärdateien, die sie erfasst. Pfad, SHA-1, Herausgeber, Linkdatum und Inventarzeit halten sich monatelang, nachdem der Angreifer die Datei gewischt hat. Der praktische Workflow.

  2026-05-24

• Amcache: die vollständige forensische Referenz der Windows-.hve-Hive

  Amcache ist die Hive, in die der Compatibility Appraiser jede PE-Datei auf der Platte einträgt, mit SHA-1, vollständigem Pfad, Herausgeber, Linkdatum und Key-Schreibzeit. Die Referenz, vom Format bis zur Ermittlungspraxis.

  2026-05-24

• Amcache für Windows-Forensik verstehen

  Was Amcache.hve aufzeichnet, warum es zählt und wie dieser Parser sie vollständig in Ihrem Browser liest.

  2026-05-10

• Amcache FileId erklärt: das SHA-1-Hash-Format, das Windows speichert

  FileId ist '0000' plus der SHA-1 der ersten 31 MiB. Streifen Sie das Präfix ab, sonst liefern Ihre VirusTotal-Abfragen still nichts. Die vollständige Referenz, mit den Fallen.

  2026-05-24