Ir al contenido
Sin subidasAmcache.hve, analizado en tu equipo

Amcache Parser: cada programa que Windows inventarió

Analizador Amcache en línea para hives del registro Windows Amcache.hve. Se ejecuta completamente en tu navegador con WebAssembly — no se sube nada.

  • Rust → WebAssembly
  • Los archivos no salen del navegador
  • ZIP y colecciones KAPE
  • Exportación CSV / JSON

¿Buscas el CLI AmcacheParser de Eric Zimmerman? Leer la guía completa →

Suelta Amcache.hve aquí o haz clic para elegir un archivoAmcache.hve · carpeta · colección ZIPEjemplo: un Amcache.hve sintético de una intrusión ficticia (equipo FIN-WKS-07). Sin datos reales. Consejo: abre m64.exe y centra el rango horario en él (±5 min) para aislar la intrusión.

100 % en el cliente. El archivo se lee en memoria y nunca se envía a un servidor.

Cómo obtener sus datos

Guía de adquisición completa →
  1. AdquirirEjecute un comando de abajo
  2. SoltarEl archivo, carpeta o ZIP aquí
  3. PrivadoNada sale de su navegador
recomendado

Equipo Windows 8+ encendido · PowerShell como administrador · nada que instalar (esentutl integrado)

PowerShell (Admin): hive + logs mediante una instantánea VSS
$d = "C:\triage\amcache-$(Get-Date -Format yyyyMMdd-HHmmss)"
New-Item -ItemType Directory -Force -Path $d | Out-Null
foreach ($f in 'Amcache.hve','Amcache.hve.LOG1','Amcache.hve.LOG2') {
  esentutl.exe /y /vss "C:\Windows\AppCompat\Programs\$f" /d "$d\$f"
}
Invoke-Item $d

Copia Amcache.hve, .LOG1 y .LOG2 a través de una instantánea de volumen (el archivo en uso está bloqueado) a una nueva carpeta C:\triage\amcache-… y la abre en el Explorador. Arrastre esa carpeta, o solo Amcache.hve, a la zona de carga.

Trampas habituales

  • Ejecute como administrador. Un simple copy o una copia en el Explorador del hive en uso falla (archivo en uso) o genera un archivo vacío o lleno de ceros, que la zona de carga indica como «Solo ceros». Use el comando con instantánea VSS o una herramienta de triage.
  • .LOG1 / .LOG2 se reconocen pero no se aplican aquí. Si el hive está «dirty», pueden faltar las entradas más recientes: aplique antes los logs (rla.exe, Registry Explorer) y después suelte el hive.
  • Windows 7 / Server 2008 R2 no tiene Amcache.hve: RecentFileCache.bcf es otro formato y no se analiza aquí.
Pensado para el triaje

Del hive a la respuesta con un solo arrastre

Amcache registra lo que llega a un equipo Windows: ruta, tamaño, editor, fecha de enlace PE y SHA-1 de cada ejecutable. El parser lo convierte en algo que puedes investigar.

  • Pivotes SHA-1

    El FileId de cada archivo se decodifica a un SHA-1 limpio, con búsqueda en VirusTotal y MalwareBazaar en un clic.

  • Correlación archivo ↔ programa

    InventoryApplicationFile se une a InventoryApplication mediante ProgramId, así los ejecutables huérfanos aparecen como «no asociados».

  • Indicios de riesgo

    PE sin firma, ejecutables en Temp, AppData, ProgramData o Users\Public y controladores sin firma se marcan para una primera pasada.

  • Vista de línea de tiempo

    Ordena cualquier categoría por la última escritura de la clave para reconstruir cuándo llegó el software.

  • Colecciones de triaje

    Arrastra un ZIP de KAPE o Velociraptor, o una carpeta entera: se localizan los hives de Amcache y se explica cada archivo omitido.

  • Sesiones guardadas

    Tu análisis se guarda automáticamente en este navegador (IndexedDB). Nombra sesiones y vuelve a abrirlas — nada sale del equipo.

Contenido

Las categorías que guarda Amcache

  1. InventoryApplicationFileEjecutables vistos en disco: ruta completa, SHA-1, tamaño, editor, versión, fecha de enlace PE.
  2. InventoryApplicationProgramas instalados: nombre, editor, versión, fecha de instalación, comando de desinstalación.
  3. InventoryDriverBinaryControladores de kernel con estado de firma, hash y marcas de tiempo — útil para cazar BYOVD.
  4. InventoryDevicePnpDispositivos Plug and Play, incluido el almacenamiento USB conectado al equipo.
  5. InventoryApplicationShortcutAccesos directos del menú Inicio que apuntan a programas instalados.
  6. File / Programs (Windows 8)El esquema antiguo de las primeras versiones de Amcache, analizado con los mismos pivotes.
Cómo funciona

Tres pasos, cero subidas

  1. 01

    Recolectar

    Copia Amcache.hve con sus archivos .LOG (KAPE, Velociraptor, FTK Imager o una copia VSS).

  2. 02

    Arrastrar

    Arrastra el hive, una carpeta o un ZIP de colección. El parser WebAssembly se ejecuta en un worker, en memoria.

  3. 03

    Investigar

    Filtra, ordena, pivota sobre hashes y exporta CSV o JSON para tu línea de tiempo.

Herramientas relacionadas

Artefactos que responden a la siguiente pregunta del mismo caso.

Preguntas de los analistas

¿Amcache demuestra que un programa se ejecutó?

No por sí solo. Desde Windows 10, Amcache es un inventario: demuestra que un archivo estaba presente y fue analizado. Corrobora la ejecución con Prefetch, ShimCache, SRUM o los registros de eventos.

¿Se sube mi Amcache.hve a algún sitio?

No. El archivo lo lee un parser WebAssembly dentro de tu pestaña. Las sesiones guardadas quedan en el IndexedDB de tu navegador y nunca se envían a un servidor.

¿Puedo arrastrar una colección de KAPE o Velociraptor?

Sí. Arrastra el ZIP o la carpeta extraída: se analiza cada Amcache.hve y el resto de archivos se lista con el motivo por el que se omitió.

¿Y los archivos .LOG1 / .LOG2?

Se reconocen pero no se reproducen. Si el hive está sucio, reproduce antes los registros de transacciones (por ejemplo con rla.exe) o pueden faltar las entradas más recientes.

¿En qué se diferencia de AmcacheParser de Eric Zimmerman?

Las columnas siguen la salida CSV de AmcacheParser, así que las exportaciones encajan en flujos existentes. Esta herramienta añade filtrado, indicios de riesgo y pivotes de hash en el navegador, sin instalar nada.

Abre tu Amcache.hve ahora

Sin cuenta, sin instalación, sin subidas.

Arrastrar un hive