¿Qué es Root\InventoryApplicationFile? (glosario)
Root\InventoryApplicationFile es la clave principal del
registro dentro de Amcache.hve. Contiene una subclave por cada
binario PE que el Compatibility Appraiser ha inventariado, con
metadatos ricos por entrada: ruta completa, SHA-1, publisher,
versión, fecha de link y marca de tiempo de inventario.
Esta es la clave en la que los analistas DFIR pasan el 90% de su
tiempo con Amcache. Junto con Root\InventoryApplication,
responde la pregunta canónica de Amcache: "¿estuvo este binario
alguna vez presente en este host, y qué es?"
Valores notables por entrada#
| Valor | Significado |
|---|---|
Name |
Solo nombre de archivo (p. ej. mimikatz.exe). |
LowerCaseLongPath |
Ruta completa, en minúsculas. |
FileId |
"0000" + SHA-1 hex de los primeros 31 MiB. |
Size |
Tamaño del archivo en bytes. |
IsPeFile |
1 si el archivo es un PE. |
IsOsComponent |
1 si es parte de Windows. |
Publisher / PublisherName |
Cadenas del publisher. |
Version / BinFileVersion / ProductVersion |
Cadenas de versión. |
ProductName |
ProductName del recurso PE. |
LinkDate |
PE TimeDateStamp. |
Language |
ID de idioma del recurso PE. |
ProgramId |
Hash de identidad de aplicación de 44 caracteres. |
Usn |
Entrada del journal USN en el momento del inventario. |
Más el KeyLastWriteTimestamp a nivel del registro (no es un
valor; los metadatos de última escritura de la propia clave del
registro) — que es lo más cercano que expone Amcache a "¿cuándo
registró el appraiser esto?".
Por qué les importa a los analistas#
InventoryApplicationFile es la fuente más rica de Windows para
evidencia de archivo post-eliminación. Un wiper puede quitar el
archivo del disco; la entrada persiste en el hive durante meses.
La combinación de hash + ruta + publisher + hora de inventario
es suficiente para identificar un binario, verificarlo contra
VirusTotal y acotar cuándo apareció en el host — todo sin el
propio binario.
Filtro de triage#
El filtro estándar de "¿es esto sospechoso?" aplicado al CSV de AmcacheParser de esta clave:
IsPeFile = True
AND Publisher is empty
AND FullPath is under \Users\, \AppData\, \ProgramData\, or \Temp\
Ese único filtro hace aflorar la gran mayoría de artefactos de malware comodín en un host infectado típico.
Para el tour completo de la estructura del registro, ver Estructura del registro Amcache.
Términos relacionados#
- Amcache.hve — el hive.
- FileId — el hash de contenido por entrada.
- ProgramId — la identidad de aplicación por entrada.
- KeyLastWriteTimestamp — el pivote de tiempo de inventario.
- LinkDate — el campo de tiempo de compilación del PE.
Artículos relacionados
- ¿Dónde está la clave del registro de Amcache?
Amcache es su propio archivo de hive en C:\Windows\AppCompat\Programs\Amcache.hve — no una clave bajo HKLM. Cuando es cargado por herramientas o por el propio Windows se monta como HKLM\Amcache.
- ¿Qué es Amcache ProgramId? (glosario)
ProgramId es el hash de identidad de aplicación de 44 caracteres que Amcache asigna a cada aplicación lógica. El mismo ProgramId en hosts diferentes significa la misma instalación de aplicación.
- ¿Qué es LinkDate en Amcache? (glosario)
LinkDate es el TimeDateStamp de la cabecera PE que registra Amcache — cuándo se compiló o enlazó el binario, no cuándo apareció en el host.
- ¿Qué es KeyLastWriteTimestamp en Amcache? (glosario)
KeyLastWriteTimestamp es el tiempo de última escritura a nivel del registro de una entrada de Amcache — lo más cercano que expone Amcache a 'cuándo el appraiser registró este archivo'.