Artículos con la etiqueta «forensics»

• ¿Es Amcache.hve un archivo de log?

  No. Es una hive del Registro con el mismo formato binario que SYSTEM y NTUSER.DAT. Un árbol de claves tipadas, no una secuencia plana append-only.

  2026-05-24

• ¿Con qué frecuencia se actualiza Amcache?

  Aproximadamente a diario en workstations Windows 10/11. Cada 2-5 días en servidores. Semanas en Server Core. Amcache va con retraso respecto a la realidad. Planifica timelines en torno a eso.

  2026-05-24

• ¿Qué es SRUM (SRUDB.dat)? (glosario)

  SRUM es la base ESE que Windows usa para registrar el uso de recursos por aplicación, por hora, durante 30-60 días. El único artefacto Windows con totales de bytes de red por aplicación. Crítico para exfiltración.

  2026-05-24

• ¿Qué es Shimcache (AppCompatCache)? (glosario)

  Shimcache es la caché del loader mantenida por el kernel en la hive SYSTEM. 1024 entradas, sin hash, obsoleta hasta el reinicio. Diferente de Amcache; empareja ambos.

  2026-05-24

• ¿Qué es Amcache ProgramId? (glosario)

  ProgramId es el hash de identidad de aplicación de 44 caracteres que almacena Amcache. Estable entre hosts para la misma instalación. Atrapa recompilaciones y renombrados que Hash se pierde.

  2026-05-24

• ¿Qué es Windows Prefetch? (glosario)

  Windows Prefetch es el directorio de ficheros .pf que prueba ejecución. Hasta 8-10 tiempos de ejecución por binario más los ficheros cargados en los primeros diez segundos. La evidencia de ejecución más fuerte de Windows.

  2026-05-24

• ¿Qué es LinkDate en Amcache? (glosario)

  LinkDate es el PE TimeDateStamp. Controlable por el atacante. Úsalo para agrupar builds, no para líneas de tiempo de host.

  2026-05-24

• ¿Qué es KeyLastWriteTimestamp en Amcache? (glosario)

  El tiempo de escritura de la clave Amcache en el Registro. Lo más cercano a 'cuándo el appraiser anotó esto'. El campo individual que los analistas nuevos confunden más a menudo con LinkDate.

  2026-05-24

• ¿Qué es Root\InventoryApplicationFile? (glosario)

  La clave principal de Amcache. Una subclave por PE que el appraiser inventarió, con hash, ruta, fabricante, fecha de enlace y una marca de escritura de registro. Donde se va el 90% del tiempo del analista.

  2026-05-24

• ¿Qué es Amcache FileId? (glosario)

  FileId es '0000' más el SHA-1 de los primeros 31 MiB del archivo. Quita el prefijo antes de tirar a VirusTotal o no te devolverá nada en silencio.

  2026-05-24

• ¿Qué es el triage DFIR? (glosario)

  El triage es la pasada rápida que decide si un host merece una investigación completa. Amcache es uno de los artefactos más baratos y productivos del kit de triage.

  2026-05-24

• ¿Qué es el Compatibility Appraiser? (glosario)

  La tarea programada que recorre el sistema de archivos, inventaria archivos PE, y escribe los registros en Amcache.hve. Entiende su cadencia o malinterpreta tu timeline.

  2026-05-24

• ¿Qué es BYOVD (Bring-Your-Own-Vulnerable-Driver)? (glosario)

  BYOVD es la técnica de cargar un driver de kernel firmado pero vulnerable para conseguir el ring 0 sin saltarse Driver Signature Enforcement. Los registros de drivers de Amcache son cómo se detecta.

  2026-05-24

• ¿Qué es Amcache.hve? (glosario)

  Amcache.hve es la hive de Windows en la que el Compatibility Appraiser anota cada PE que encuentra, con SHA-1, ruta completa, publisher y timestamp de inventario. Sobrevive al binario que registra.

  2026-05-24

• Dónde está Amcache.hve en disco (y cómo recogerlo)

  Ruta: C:\Windows\AppCompat\Programs\Amcache.hve más los archivos .LOG. Siempre los tres. Y la forma correcta de recogerlo en un host vivo y desde shadow copies.

  2026-05-24

• Recuperar evidencia de binarios borrados desde Amcache

  Amcache sobrevive a los binarios que registra. La ruta, el SHA-1, el publisher, el link date y el momento del inventario persisten meses después de que el atacante limpie el archivo. El flujo práctico.

  2026-05-24

• Amcache: la referencia forense completa de la hive Windows .hve

  Amcache es la hive donde el Compatibility Appraiser anota cada PE en disco, con SHA-1, ruta completa, publisher, link date y un tiempo de escritura de clave. La referencia, del formato al uso investigativo.

  2026-05-24

• Entender Amcache para análisis forense de Windows

  Qué registra Amcache.hve, por qué importa, y cómo este parser la lee íntegramente en tu navegador.

  2026-05-10

• FileId de Amcache explicado: el formato de hash SHA-1 que almacena Windows

  FileId es '0000' más el SHA-1 de los primeros 31 MiB. Quita el prefijo o tus lookups a VirusTotal devuelven silenciosamente nada. La referencia completa, con sus trampas.

  2026-05-24