¿Es Amcache.hve un archivo de log?

No. Amcache.hve es una hive del Registro de Windows en formato binario regf. Mismo formato que las hives SYSTEM, SOFTWARE y NTUSER.DAT. Un árbol de claves y valores tipados. No un log plano.

La distinción importa en la práctica:

• Un archivo de log añade eventos secuencialmente. Cada línea es un evento discreto. Los lectores parsean línea a línea.
• Una hive del Registro guarda un árbol de claves (como carpetas) y valores tipados (REG_SZ, REG_DWORD, REG_QWORD, REG_BINARY). Los lectores recorren el árbol.

Amcache guarda una subclave por binario PE inventariado bajo Root\InventoryApplicationFile. Cada subclave tiene 15-20 valores tipados: nombre, ruta, hash SHA-1, link date, publisher, versión, etc. Las actualizaciones pasan en su sitio. Los valores viejos se sobrescriben, no se añaden después.

¿Y los archivos .LOG?#

Amcache.hve.LOG1 y Amcache.hve.LOG2 son archivos de log, pero son logs de transacción del Registro, no logs de eventos. El mismo mecanismo write-ahead que usa toda hive del Registro para bufferear escrituras recientes antes de volcarlas al archivo principal. Binarios, no legibles por humanos, y no se usan para auditoría de eventos.

Coge siempre los tres archivos juntos. Si te llevas solo la hive, puedes perder silenciosamente las escrituras más recientes que aún estaban bufferizadas en los logs en el momento de la adquisición. AmcacheParser los replayea automáticamente si están al lado de la hive.

Para ruta y flujo de recolección, ve Dónde está Amcache.hve en disco.

Cómo leerla de verdad#

Necesitas un parser hive-aware:

• AmcacheParser (Eric Zimmerman). CLI canónica del lado Windows. Salida CSV. Ve la guía completa de AmcacheParser.
• Plugin amcache de RegRipper (Harlan Carvey). Salida en informe de texto. Ve Plugin amcache de RegRipper.
• El parser de navegador de este sitio. Rust + WebAssembly, sin instalar. Suelta la hive en la página principal.

Para el contexto más amplio del artefacto, ve la Referencia completa de Amcache.