Beiträge mit dem Tag „windows-forensics“

• Was die Amcache in einer DFIR-Untersuchung tatsächlich sagt

  Ein Praktiker-Blick auf die Hive Amcache.hve: was jeder Eintrag wirklich beweist, wo die Zeitstempel Sie belügen, und die Fehler, die in Incident-Berichten immer wieder auftauchen.

  2026-05-27

• Die Amcache-Zeitstempel, dekodiert

  Jedes FILETIME- und DateTime-als-String-Feld über die Amcache-Keys, was jedes wirklich verfolgt, und wie sich Win7, Win10 und Win11 über dasselbe Artefakt streiten.

  2026-05-27

• Das Binärformat von Amcache.hve in der Praxis

  Ein Rundgang durch die On-Disk-Struktur von Amcache.hve: das regf-Hive-Layout, die Subkeys, die im DFIR zählen, und die Tools, die sie lesen, ohne Sie zu belügen.

  2026-05-27