Beiträge mit dem Tag „registry“

• Das Binärformat von Amcache.hve in der Praxis

  Ein Rundgang durch die On-Disk-Struktur von Amcache.hve: das regf-Hive-Layout, die Subkeys, die im DFIR zählen, und die Tools, die sie lesen, ohne Sie zu belügen.

  2026-05-27

• Wo ist der Amcache-Registry-Schlüssel?

  Amcache ist eine eigene Hive-Datei, kein Schlüssel unter HKLM. Bei Bedarf vom Appraiser geladen. Aktiv eingehängt unter HKLM\Amcache.

  2026-05-24

• Was ist Root\InventoryApplicationFile? (Glossar)

  Der Hauptschlüssel in Amcache. Ein Unterschlüssel pro PE, das der Appraiser inventarisiert hat, mit Hash, Pfad, Hersteller, Linkdatum und einem Registry-Schreibzeitstempel. Wo 90 % der Analystenzeit verbracht werden.

  2026-05-24

• Amcache-Registry-Struktur: jeder Schlüssel erklärt

  Eine Schlüssel-für-Schlüssel-Tour durch die Registry-Hive Amcache.hve — Root\\InventoryApplicationFile, InventoryApplication, InventoryDriverBinary, die Legacy-Schlüssel Programs und File und was jeder nennenswerte Wert bedeutet.

  2026-05-24

• Amcache: die vollständige forensische Referenz der Windows-.hve-Hive

  Die vollständige Amcache.hve-Referenz: was der Appraiser pro PE festhält — SHA-1, Pfad, Herausgeber, Linkdatum — vom Format bis zur Praxis.

  2026-05-24