¿Qué es el Compatibility Appraiser? (glosario)
El Compatibility Appraiser es la tarea programada que escribe Amcache. Nada más lo hace. Si entiendes el appraiser, entiendes la cadencia, cobertura y límites de cualquier investigación que construyas sobre Amcache. Si no, acabarás datando un hallazgo en el día equivocado y lamentándolo.
Lo que necesitas saber#
- Ruta de la tarea:
\Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser. - Cadencia: ~24h en workstations Windows 10/11. 2-5 días en Server con Desktop Experience. Una semana o más en Server Core. Se salta en batería. Delay aleatorio en el trigger por tiempo.
- Salida:
C:\Windows\AppCompat\Programs\Amcache.hvemás.LOG1y.LOG2. - Origen: Customer Experience Improvement Program. La hive local es el área de preparación para la telemetría que va a Microsoft. Resulta que también es ideal para DFIR.
Dos cosas que esto significa para tu investigación#
Primero, Amcache va con retraso respecto a la realidad. Un binario soltado en una workstation puede ser invisible para Amcache hasta un día. En un servidor, hasta una semana. Si necesitas precisión sub-hora en el primer-visto, estás mirando el artefacto equivocado. Usa Sysmon 1 / 11, Security 4688, o la MFT y el journal USN en su lugar.
Segundo, el appraiser es atacable. Builds endurecidos, GPOs que bloquean telemetría y un puñado de scripts de atacante lo apagan. La hive no desaparece. Se congela. Una hive cuya densidad de KeyLastWriteTimestamp cae a pico tres meses antes de un incidente te dice que el appraiser paró, no que no haya pasado nada.
Señales de que ha sido apagado#
- El estado de la tarea programada es
Disabled, o suLastRunTimecoincide con la fecha de instalación del host. - La distribución de
KeyLastWriteTimestampmuere de golpe en un host que sabes que ha estado ocupado desde entonces. HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry = 0.- El log de eventos
Microsoft-Windows-Application-Experiencese calla por la misma fecha.
Para el contexto largo, ve la Referencia completa de Amcache y Recuperar evidencia de binarios borrados desde Amcache.
Términos relacionados#
Artículos relacionados
- ¿Con qué frecuencia se actualiza Amcache?
Aproximadamente a diario en workstations Windows 10/11. Cada 2-5 días en servidores. Semanas en Server Core. Amcache va con retraso respecto a la realidad. Planifica timelines en torno a eso.
- ¿Qué es Amcache ProgramId? (glosario)
ProgramId es el hash de identidad de aplicación de 44 caracteres que almacena Amcache. Estable entre hosts para la misma instalación. Atrapa recompilaciones y renombrados que Hash se pierde.
- ¿Qué es LinkDate en Amcache? (glosario)
LinkDate es el PE TimeDateStamp. Controlable por el atacante. Úsalo para agrupar builds, no para líneas de tiempo de host.
- ¿Qué es KeyLastWriteTimestamp en Amcache? (glosario)
El tiempo de escritura de la clave Amcache en el Registro. Lo más cercano a 'cuándo el appraiser anotó esto'. El campo individual que los analistas nuevos confunden más a menudo con LinkDate.