Beiträge mit dem Tag „qa“

• Warum ist meine Amcache.hve leer?

  Drei häufige Ursachen: Der Compatibility Appraiser ist deaktiviert, der Host wurde frisch installiert oder Sie sammeln von einem Server / Server Core, auf dem der Appraiser viel seltener läuft.

  2026-05-24

• Wer hat AmcacheParser erstellt?

  Eric Zimmerman, ein ehemaliger FBI Special Agent und aktueller Senior Director bei Kroll, hat AmcacheParser als Teil seiner Open-Source-DFIR-Tool-Suite erstellt.

  2026-05-24

• Wo ist der Amcache-Registry-Schlüssel?

  Amcache ist eine eigene Hive-Datei, kein Schlüssel unter HKLM. Bei Bedarf vom Appraiser geladen. Aktiv eingehängt unter HKLM\Amcache.

  2026-05-24

• Was enthält Amcache.hve?

  Amcache.hve enthält Inventar-Datensätze für jedes PE-Binärprogramm, jeden Treiber und jedes verbundene Gerät, das der Windows Compatibility Appraiser gesehen hat — mit SHA-1-Hashes, Pfaden, Herausgebern und Zeitstempeln.

  2026-05-24

• Was ist eine .pf-Datei vs. ein Amcache-Eintrag?

  .pf-Dateien sind Windows-Prefetch-Datensätze — Beweis, dass ein Binärprogramm ausgeführt wurde, mit Run-Zeitstempeln und Listen geladener Dateien. Amcache-Einträge zeichnen Präsenz auf, mit dem SHA-1-Hash und Metadaten.

  2026-05-24

• Ist AmcacheParser kostenlos? Ja — MIT-Lizenz, kommerziell nutzbar

  Ja. AmcacheParser ist für jede Verwendung kostenlos, einschließlich kommerzieller DFIR-Arbeit, veröffentlicht unter einer permissiven Lizenz von Eric Zimmerman.

  2026-05-24

• Ist Amcache.hve eine Protokolldatei?

  Nein. Es ist eine Registry-Hive im selben Binärformat wie SYSTEM und NTUSER.DAT. Ein Baum typisierter Keys, kein flacher Append-Only-Stream.

  2026-05-24

• Wie lese ich Amcache.hve unter Linux oder macOS?

  Drei Optionen: dotnet AmcacheParser.dll mit der .NET-Runtime, der browserbasierte Parser dieser Seite (keine Installation) oder ein beliebiges libhivex-basiertes Tool. Keine erfordert Windows.

  2026-05-24

• Wie oft wird Amcache aktualisiert?

  Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Servern. Wochen auf Server Core. Amcache hinkt der Realität hinterher. Planen Sie Timelines entsprechend.

  2026-05-24

• Zeichnet Amcache DLLs auf?

  Ja — auf Windows 10 Build 1709 und später zeichnet Amcache DLLs neben EXEs in InventoryApplicationFile auf. Pre-1709-Hives möglicherweise nicht.

  2026-05-24

• Kann Amcache von Angreifern gelöscht werden?

  Ja, mit Admin-Rechten lässt sich Amcache.hve löschen oder bearbeiten, aber kaum unbemerkt: Shadow Copies, .LOG1/.LOG2 und Zeitstempel verraten es.

  2026-05-24

• Was ist der Unterschied zwischen Amcache und AppCompatCache?

  Amcache ist eine reichhaltigere, vom Appraiser gepflegte Registry-Hive mit Hashes und Metadaten. AppCompatCache (ShimCache) ist ein kleineres, loadergepflegtes Registry-Blob nur mit Pfaden und Zeitstempeln.

  2026-05-24