Artículos con la etiqueta «glossary»

• ¿Qué es SRUM (SRUDB.dat)? (glosario)

  SRUM es la base ESE que Windows usa para registrar el uso de recursos por aplicación, por hora, durante 30-60 días. El único artefacto Windows con totales de bytes de red por aplicación. Crítico para exfiltración.

  2026-05-24

• ¿Qué es Shimcache (AppCompatCache)? (glosario)

  Shimcache es la caché del loader mantenida por el kernel en la hive SYSTEM. 1024 entradas, sin hash, obsoleta hasta el reinicio. Diferente de Amcache; empareja ambos.

  2026-05-24

• ¿Qué es Amcache ProgramId? (glosario)

  ProgramId es el hash de identidad de aplicación de 44 caracteres que almacena Amcache. Estable entre hosts para la misma instalación. Atrapa recompilaciones y renombrados que Hash se pierde.

  2026-05-24

• ¿Qué es Windows Prefetch? (glosario)

  Windows Prefetch es el directorio de ficheros .pf que prueba ejecución. Hasta 8-10 tiempos de ejecución por binario más los ficheros cargados en los primeros diez segundos. La evidencia de ejecución más fuerte de Windows.

  2026-05-24

• ¿Qué es LinkDate en Amcache? (glosario)

  LinkDate es el PE TimeDateStamp. Controlable por el atacante. Úsalo para agrupar builds, no para líneas de tiempo de host.

  2026-05-24

• ¿Qué es KeyLastWriteTimestamp en Amcache? (glosario)

  El tiempo de escritura de la clave Amcache en el Registro. Lo más cercano a 'cuándo el appraiser anotó esto'. El campo individual que los analistas nuevos confunden más a menudo con LinkDate.

  2026-05-24

• ¿Qué es Root\InventoryApplicationFile? (glosario)

  La clave principal de Amcache. Una subclave por PE que el appraiser inventarió, con hash, ruta, fabricante, fecha de enlace y una marca de escritura de registro. Donde se va el 90% del tiempo del analista.

  2026-05-24

• ¿Qué es Amcache FileId? (glosario)

  FileId es '0000' más el SHA-1 de los primeros 31 MiB del archivo. Quita el prefijo antes de tirar a VirusTotal o no te devolverá nada en silencio.

  2026-05-24

• ¿Qué es el triage DFIR? (glosario)

  El triage es la pasada rápida que decide si un host merece una investigación completa. Amcache es uno de los artefactos más baratos y productivos del kit de triage.

  2026-05-24

• ¿Qué es el Compatibility Appraiser? (glosario)

  La tarea programada que recorre el sistema de archivos, inventaria archivos PE, y escribe los registros en Amcache.hve. Entiende su cadencia o malinterpreta tu timeline.

  2026-05-24

• ¿Qué es BYOVD (Bring-Your-Own-Vulnerable-Driver)? (glosario)

  BYOVD es la técnica de cargar un driver de kernel firmado pero vulnerable para conseguir el ring 0 sin saltarse Driver Signature Enforcement. Los registros de drivers de Amcache son cómo se detecta.

  2026-05-24

• ¿Qué es Amcache.hve? (glosario)

  Amcache.hve es la hive de Windows en la que el Compatibility Appraiser anota cada PE que encuentra, con SHA-1, ruta completa, publisher y timestamp de inventario. Sobrevive al binario que registra.

  2026-05-24