Beiträge mit dem Tag „windows“

• Amcache-Forensik: Ausführungsbeweise finden

  Mit Amcache.hve belegen, dass ein Programm lief: sammeln, parsen, filtern, per SHA-1 pivotieren, bestätigen — plus die Grenzen, die Analysten überraschen.

  2026-06-12

• Warum ist meine Amcache.hve leer?

  Drei häufige Ursachen: Der Compatibility Appraiser ist deaktiviert, der Host wurde frisch installiert oder Sie sammeln von einem Server / Server Core, auf dem der Appraiser viel seltener läuft.

  2026-05-24

• Wo ist der Amcache-Registry-Schlüssel?

  Amcache ist eine eigene Hive-Datei, kein Schlüssel unter HKLM. Bei Bedarf vom Appraiser geladen. Aktiv eingehängt unter HKLM\Amcache.

  2026-05-24

• Was enthält Amcache.hve?

  Amcache.hve enthält Inventar-Datensätze für jedes PE-Binärprogramm, jeden Treiber und jedes verbundene Gerät, das der Windows Compatibility Appraiser gesehen hat — mit SHA-1-Hashes, Pfaden, Herausgebern und Zeitstempeln.

  2026-05-24

• Volatility und Amcache: die Hive aus Speicherabbildern extrahieren

  Ein praktischer Leitfaden zur Wiederherstellung von Amcache aus einem Windows-Speicherabbild mit Volatility — wann speicherseitige Wiederherstellung die einzige Option ist, welche Plugins zu verwenden sind und wie an AmcacheParser übergeben wird.

  2026-05-24

• RegRipper amcache-Plugin: was es tut und wann man es verwendet

  Ein praktischer Leitfaden zum amcache-Plugin von RegRipper — was es parst, wie sich seine Text-Ausgabe von AmcacheParsers CSV unterscheidet und wann man darauf zurückgreift statt (oder zusätzlich zum) Zimmerman-Tool.

  2026-05-24

• Was ist eine .pf-Datei vs. ein Amcache-Eintrag?

  .pf-Dateien sind Windows-Prefetch-Datensätze — Beweis, dass ein Binärprogramm ausgeführt wurde, mit Run-Zeitstempeln und Listen geladener Dateien. Amcache-Einträge zeichnen Präsenz auf, mit dem SHA-1-Hash und Metadaten.

  2026-05-24

• Ist Amcache.hve eine Protokolldatei?

  Nein. Es ist eine Registry-Hive im selben Binärformat wie SYSTEM und NTUSER.DAT. Ein Baum typisierter Keys, kein flacher Append-Only-Stream.

  2026-05-24

• Wie oft wird Amcache aktualisiert?

  Etwa täglich auf Windows-10/11-Workstations. Alle 2-5 Tage auf Servern. Wochen auf Server Core. Amcache hinkt der Realität hinterher. Planen Sie Timelines entsprechend.

  2026-05-24

• Was ist SRUM (SRUDB.dat)? (Glossar)

  SRUM ist die ESE-Datenbank, mit der Windows die Ressourcennutzung pro Anwendung stündlich über 30 bis 60 Tage verfolgt. Das einzige Windows-Artefakt mit Netzwerk-Byte-Summen pro App. Kritisch für Exfiltration.

  2026-05-24

• Was ist Shimcache (AppCompatCache)? (Glossar)

  Shimcache ist der vom Kernel verwaltete Loader-Cache in der SYSTEM-Hive. 1024 Einträge, kein Hash, bis zum Neustart veraltet. Anders als Amcache; paaren Sie sie.

  2026-05-24

• Was ist Amcache ProgramId? (Glossar)

  ProgramId ist der 44-Zeichen-Anwendungs-Identitätshash, den Amcache speichert. Über Hosts hinweg stabil bei derselben Installation. Erwischt Neukompilierungen und Umbenennungen, wo Hash daneben liegt.

  2026-05-24

• Was ist Windows Prefetch? (Glossar)

  Windows Prefetch ist das Verzeichnis der .pf-Dateien, das Ausführung beweist. Bis zu 8-10 Laufzeiten pro Binary plus die in den ersten zehn Sekunden geladenen Dateien. Der stärkste Windows-Ausführungsnachweis.

  2026-05-24

• Was ist LinkDate in Amcache? (Glossar)

  LinkDate ist der PE-TimeDateStamp. Angreiferkontrollierbar. Verwenden Sie ihn für Build-Clustering, nicht für Host-Zeitlinien.

  2026-05-24

• Was ist KeyLastWriteTimestamp in Amcache? (Glossar)

  Die Registry-Schreibzeit des Amcache-Keys. Das Nächste an 'wann der Appraiser das aufgezeichnet hat'. Das Feld, das neue Analysten am häufigsten mit LinkDate verwechseln.

  2026-05-24

• Was ist Root\InventoryApplicationFile? (Glossar)

  Der Hauptschlüssel in Amcache. Ein Unterschlüssel pro PE, das der Appraiser inventarisiert hat, mit Hash, Pfad, Hersteller, Linkdatum und einem Registry-Schreibzeitstempel. Wo 90 % der Analystenzeit verbracht werden.

  2026-05-24

• Was ist Amcache FileId? (Glossar)

  FileId ist '0000' plus der SHA-1 der ersten 31 MiB der Datei. Streifen Sie das Präfix ab, bevor Sie zu VirusTotal gehen, sonst kommt still nichts zurück.

  2026-05-24

• Was ist der Compatibility Appraiser? (Glossar)

  Die geplante Aufgabe, die das Dateisystem durchläuft, PE-Dateien inventarisiert und die Datensätze in Amcache.hve schreibt. Verstehen Sie ihre Kadenz, oder lesen Sie Ihre Timeline falsch.

  2026-05-24

• Was ist BYOVD (Bring-Your-Own-Vulnerable-Driver)? (Glossar)

  BYOVD ist der Trick, einen signierten, aber fehlerhaften Kerneltreiber zu laden, um Ring 0 zu erlangen, ohne Driver Signature Enforcement zu umgehen. Die Treibereinträge in Amcache sind, wie Sie es erkennen.

  2026-05-24

• Was ist Amcache.hve? (Glossar)

  Amcache.hve ist die Windows-Hive, in die der Compatibility Appraiser jede gefundene PE einträgt, mit SHA-1, vollständigem Pfad, Herausgeber und Inventarzeitstempel. Überlebt die Binärdatei, die sie aufzeichnet.

  2026-05-24

• Zeichnet Amcache DLLs auf?

  Ja — auf Windows 10 Build 1709 und später zeichnet Amcache DLLs neben EXEs in InventoryApplicationFile auf. Pre-1709-Hives möglicherweise nicht.

  2026-05-24

• Kann Amcache von Angreifern gelöscht werden?

  Ja, mit Admin-Rechten lässt sich Amcache.hve löschen oder bearbeiten, aber kaum unbemerkt: Shadow Copies, .LOG1/.LOG2 und Zeitstempel verraten es.

  2026-05-24

• AmcacheParser-Ausgabespalten erklärt: jedes CSV-Feld dekodiert

  Eine Feld-für-Feld-Referenz für die CSV-Ausgabe von AmcacheParser — FileId, PathHash, ProgramId, LinkDate, BinFileVersion, IsPeFile und jede andere Spalte, mit den Pivots, die in DFIR zählen.

  2026-05-24

• AmcacheParser-Download-Leitfaden: offizielle Quellen, Mirrors und Verifizierung

  Alle Wege, AmcacheParser von Eric Zimmerman herunterzuladen — Get-ZimmermanTools, direkter Download, KAPE, Velociraptor — mit Prüfsummen-Verifizierung und Air-Gap-Installationsmustern.

  2026-05-24

• AmcacheParser: der vollständige Leitfaden zu Eric Zimmermans Tool

  AmcacheParser von Eric Zimmerman: Download, Installation, Kommandozeilen-Optionen und CSV-Ausgabe lesen, plus wann die Browser-Alternative besser passt.

  2026-05-24

• AmcacheParser-CLI-Spickzettel: jede Option, mit Praxisbeispielen

  Eine praktische Kommandozeilen-Referenz für AmcacheParser von Eric Zimmerman — jede Option erklärt, mit KAPE-, Velociraptor- und PowerShell-Batch-Verarbeitungsmustern zum Kopieren und Einfügen.

  2026-05-24

• Amcache unter Windows Server: Kadenz, Abdeckung und Eigenheiten

  Amcache unter Windows Server 2016, 2019, 2022 und 2025 — Unterschiede in der Appraiser-Kadenz zum Desktop, was sich bei gehärteten oder Core-Installationen ändert und die Muster, die für serverseitige DFIR zählen.

  2026-05-24

• Amcache unter Windows 11 und Windows 10: Schema, Kadenz und Eigenheiten

  Wie sich Amcache.hve unter modernem Windows 10 und Windows 11 verhält — das in 1709 eingeführte Inventory*-Schema, die Appraiser-Kadenz und die build-spezifischen Eigenheiten, die man kennen sollte.

  2026-05-24

• Amcache vs SRUM: Präsenz vs Ressourcennutzung mit langem Fenster

  SRUM verfolgt die Ressourcennutzung pro Anwendung über 30+ Tage; Amcache inventarisiert jedes auf der Festplatte präsente Binärprogramm. Hier ist, wie sie sich in einer Windows-DFIR-Timeline ergänzen.

  2026-05-24

• Amcache vs ShimCache: wann welches Artefakt gewinnt

  ShimCache und Amcache zeichnen beide Binärprogramme auf, die einen Windows-Host berührt haben. Es sind unterschiedliche Mechanismen mit unterschiedlichen Grenzen — hier ist, wann man was verwendet und was ihre Überschneidung tatsächlich beweist.

  2026-05-24

• Amcache vs Prefetch: was jedes wirklich beweist

  Amcache zeichnet Präsenz auf; Prefetch zeichnet Ausführung auf. Eine praktische Referenz, wann man was verwendet, worin sie sich überschneiden und wie man sie in einer DFIR-Timeline kombiniert.

  2026-05-24

• Was ist der Unterschied zwischen Amcache und AppCompatCache?

  Amcache ist eine reichhaltigere, vom Appraiser gepflegte Registry-Hive mit Hashes und Metadaten. AppCompatCache (ShimCache) ist ein kleineres, loadergepflegtes Registry-Blob nur mit Pfaden und Zeitstempeln.

  2026-05-24

• USB- und Gerätehistorie aus Amcache: InventoryDeviceContainer und InventoryDevicePnp

  Die Amcache-Schlüssel InventoryDeviceContainer und InventoryDevicePnp geben Analysten eine saubere Antwort auf 'welche Hardware hat sich jemals mit diesem Host verbunden?'. Ein praktischer Leitfaden zu USB- und Peripherie-Untersuchungen.

  2026-05-24

• Amcache-Zeitstempel erklärt: KeyLastWriteTimestamp vs LinkDate vs der Rest

  Eine Referenz für jeden Zeitstempel, den Amcache bereitstellt — KeyLastWriteTimestamp, LinkDate, InstallDate, MsiInstallDate, LastModified — was jeder bedeutet und auf welchen man pivotieren sollte.

  2026-05-24

• Amcache-Registry-Struktur: jeder Schlüssel erklärt

  Eine Schlüssel-für-Schlüssel-Tour durch die Registry-Hive Amcache.hve — Root\\InventoryApplicationFile, InventoryApplication, InventoryDriverBinary, die Legacy-Schlüssel Programs und File und was jeder nennenswerte Wert bedeutet.

  2026-05-24

• Amcache ProgramId erklärt: die 44-Zeichen-Anwendungsidentität

  Eine Referenz für Amcaches ProgramId — wie Windows den 44-Zeichen-Identitäts-Hash bildet, wie man ihn zur Verknüpfung von Dateieinträgen mit Anwendungen nutzt und wie man ihn in einem Hunt über Hosts hinweg pivotiert.

  2026-05-24

• Amcache-Parser im Vergleich: AmcacheParser CLI, Browser-Tool, Volatility, RegRipper

  Direkter Vergleich der vier Wege, eine Windows-Amcache.hve-Hive 2026 zu parsen — Eric Zimmermans AmcacheParser CLI, Browser-Tool, Volatility 3 und RegRipper.

  2026-05-24

• Handelsübliche Malware mit Amcache jagen

  Ein praktisches Amcache-First-Triage-Playbook für handelsübliche Malware auf Windows-Endpoints — die Filter, die Angreifer-Tooling zutage fördern, die Pivots, die die Ausführung bestätigen, und die hostübergreifenden Abfragen, die den Incident scopen.

  2026-05-24

• Lateral Movement und Amcache: ProgramId-Pivoting über Hosts

  Eine einzelne verdächtige ProgramId auf einem Host wird zu einer Abfrage, die Sie gegen jeden anderen Host-Amcache ausführen können. Das vollständige Scoping-Playbook für Lateral Movement mit konkreten Abfragen.

  2026-05-24

• Die definitive forensische Referenz zu Amcache.hve: jeder Schlüssel, jeder Wert, jeder Zeitstempel

  Eine Feld-für-Feld- und Schema-für-Schema-Referenz zu Windows Amcache.hve — was jeder Inventory*-Unterschlüssel aufzeichnet, was jeder Zeitstempel tatsächlich bedeutet, wie sich das Schema von Windows 7 bis Windows 11 entwickelt hat und was Amcache in der DFIR beweisen kann und was nicht.

  2026-05-24

• Wo Amcache.hve auf der Festplatte liegt (und wie man es sammelt)

  Die exakten Dateipfade für Amcache.hve und seine Transaktionsprotokolle über Windows-Versionen hinweg, plus der richtige Weg, sie für die forensische Analyse mit KAPE, Velociraptor oder manuell zu sammeln.

  2026-05-24

• Amcache FileId erklärt: das SHA-1-Hash-Format, das Windows speichert

  FileId ist '0000' plus der SHA-1 der ersten 31 MiB. Streifen Sie das Präfix ab, sonst liefern Ihre VirusTotal-Abfragen still nichts. Die vollständige Referenz, mit den Fallen.

  2026-05-24

• Beweise gelöschter Binärdateien aus Amcache wiederherstellen

  Amcache überlebt die Binärdateien, die sie erfasst. Pfad, SHA-1, Herausgeber, Linkdatum und Inventarzeit halten sich monatelang, nachdem der Angreifer die Datei gewischt hat. Der praktische Workflow.

  2026-05-24

• Amcache: die vollständige forensische Referenz der Windows-.hve-Hive

  Die vollständige Amcache.hve-Referenz: was der Appraiser pro PE festhält — SHA-1, Pfad, Herausgeber, Linkdatum — vom Format bis zur Praxis.

  2026-05-24

• Amcache verstehen: was es ist und warum DFIR sich dafür interessiert

  Was Amcache.hve aufzeichnet, wie der Appraiser es aufbaut, welche Keys zählen und warum es eines der reichsten Einzelartefakte im Windows-DFIR ist.

  2026-05-10