Artículos con la etiqueta «forensics»

• Forense con Amcache: cómo encontrar evidencia de ejecución

  Usa Amcache.hve para probar que un programa se ejecutó en Windows: recoge, parsea, filtra, pivota por SHA-1, corrobora — y sus límites.

  2026-06-12

• ¿Dónde está la clave del Registro de Amcache?

  Amcache es su propio archivo hive, no una clave bajo HKLM. La carga el appraiser bajo demanda. Se monta en HKLM\Amcache cuando está activa.

  2026-05-24

• ¿Es Amcache.hve un archivo de log?

  No. Es una hive del Registro con el mismo formato binario que SYSTEM y NTUSER.DAT. Un árbol de claves tipadas, no una secuencia plana append-only.

  2026-05-24

• ¿Con qué frecuencia se actualiza Amcache?

  Aproximadamente a diario en workstations Windows 10/11. Cada 2-5 días en servidores. Semanas en Server Core. Amcache va con retraso respecto a la realidad. Planifica timelines en torno a eso.

  2026-05-24

• ¿Qué es SRUM (SRUDB.dat)? (glosario)

  SRUM es la base ESE que Windows usa para registrar el uso de recursos por aplicación, por hora, durante 30-60 días. El único artefacto Windows con totales de bytes de red por aplicación. Crítico para exfiltración.

  2026-05-24

• ¿Qué es Shimcache (AppCompatCache)? (glosario)

  Shimcache es la caché del loader mantenida por el kernel en la hive SYSTEM. 1024 entradas, sin hash, obsoleta hasta el reinicio. Diferente de Amcache; empareja ambos.

  2026-05-24

• ¿Qué es Amcache ProgramId? (glosario)

  ProgramId es el hash de identidad de aplicación de 44 caracteres que almacena Amcache. Estable entre hosts para la misma instalación. Atrapa recompilaciones y renombrados que Hash se pierde.

  2026-05-24

• ¿Qué es Windows Prefetch? (glosario)

  Windows Prefetch es el directorio de ficheros .pf que prueba ejecución. Hasta 8-10 tiempos de ejecución por binario más los ficheros cargados en los primeros diez segundos. La evidencia de ejecución más fuerte de Windows.

  2026-05-24

• ¿Qué es LinkDate en Amcache? (glosario)

  LinkDate es el PE TimeDateStamp. Controlable por el atacante. Úsalo para agrupar builds, no para líneas de tiempo de host.

  2026-05-24

• ¿Qué es KeyLastWriteTimestamp en Amcache? (glosario)

  El tiempo de escritura de la clave Amcache en el Registro. Lo más cercano a 'cuándo el appraiser anotó esto'. El campo individual que los analistas nuevos confunden más a menudo con LinkDate.

  2026-05-24

• ¿Qué es Root\InventoryApplicationFile? (glosario)

  La clave principal de Amcache. Una subclave por PE que el appraiser inventarió, con hash, ruta, fabricante, fecha de enlace y una marca de escritura de registro. Donde se va el 90% del tiempo del analista.

  2026-05-24

• ¿Qué es Amcache FileId? (glosario)

  FileId es '0000' más el SHA-1 de los primeros 31 MiB del archivo. Quita el prefijo antes de tirar a VirusTotal o no te devolverá nada en silencio.

  2026-05-24

• ¿Qué es el triage DFIR? (glosario)

  El triage es la pasada rápida que decide si un host merece una investigación completa. Amcache es uno de los artefactos más baratos y productivos del kit de triage.

  2026-05-24

• ¿Qué es el Compatibility Appraiser? (glosario)

  La tarea programada que recorre el sistema de archivos, inventaria archivos PE, y escribe los registros en Amcache.hve. Entiende su cadencia o malinterpreta tu timeline.

  2026-05-24

• ¿Qué es BYOVD (Bring-Your-Own-Vulnerable-Driver)? (glosario)

  BYOVD es la técnica de cargar un driver de kernel firmado pero vulnerable para conseguir el ring 0 sin saltarse Driver Signature Enforcement. Los registros de drivers de Amcache son cómo se detecta.

  2026-05-24

• ¿Qué es Amcache.hve? (glosario)

  Amcache.hve es la hive de Windows en la que el Compatibility Appraiser anota cada PE que encuentra, con SHA-1, ruta completa, publisher y timestamp de inventario. Sobrevive al binario que registra.

  2026-05-24

• Dónde está Amcache.hve en disco (y cómo recogerlo)

  Ruta: C:\Windows\AppCompat\Programs\Amcache.hve más los archivos .LOG. Siempre los tres. Y la forma correcta de recogerlo en un host vivo y desde shadow copies.

  2026-05-24

• FileId de Amcache explicado: el formato de hash SHA-1 que almacena Windows

  FileId es '0000' más el SHA-1 de los primeros 31 MiB. Quita el prefijo o tus lookups a VirusTotal devuelven silenciosamente nada. La referencia completa, con sus trampas.

  2026-05-24

• Recuperar evidencia de binarios borrados desde Amcache

  Amcache sobrevive a los binarios que registra. La ruta, el SHA-1, el publisher, el link date y el momento del inventario persisten meses después de que el atacante limpie el archivo. El flujo práctico.

  2026-05-24

• Amcache: la referencia forense completa de la hive Windows .hve

  La referencia completa de Amcache.hve: qué registra el appraiser por PE — SHA-1, ruta, publisher, link date — del formato al uso investigativo.

  2026-05-24

• Entender Amcache: qué es y por qué le importa al DFIR

  Qué registra Amcache.hve, cómo lo construye el appraiser, qué claves importan y por qué es uno de los artefactos más ricos del DFIR de Windows.

  2026-05-10