Entender Amcache para análisis forense de Windows

Amcache.hve es la hive del Registro en la que Windows escribe metadatos de inventario para cada binario PE que el Compatibility Appraiser ve en el host. SHA-1 de los primeros 31 MiB, ruta completa, publisher, link date y un tiempo de escritura de clave por entrada. Uno de los artefactos individuales más ricos del DFIR de Windows.

Es la hive a la que recurres cuando necesitas saber "¿estuvo este binario alguna vez en este host, y qué era?" sin tener el binario en sí.

Qué hace esta herramienta#

Este parser compila un lector de hives de Registro en Rust (nt-hive) a WebAssembly. Tu Amcache.hve se carga en memoria y se parsea en tu navegador. Nunca se sube.

Eso importa cuando la hive viene de un entorno regulado que no permite subidas a servicios de terceros, o cuando simplemente quieres una mirada rápida sin levantar toda la toolchain DFIR.

Categorías parseadas#

• InventoryApplicationFile: metadatos por archivo (SHA-1 FileId, rutas, versión).
• InventoryApplication: aplicaciones instaladas.
• InventoryDriverBinary: binarios de driver cargados.
• InventoryDeviceContainer: dispositivos conectados.
• El resto de claves Inventory*, más las claves legacy File y Programs para builds antiguos de Windows.

Suelta una hive en la página principal para ver cada valor, filtrar y exportar a JSON o CSV.

Para la referencia larga, ve la Referencia completa de Amcache. Para comparativas con artefactos vecinos, ve Amcache vs Prefetch, Amcache vs Shimcache y Amcache vs SRUM.

Lecturas adicionales#

• Yogesh Khatri, Amcache.hve in Windows 8 is a goldmine for malware hunters. La ingeniería inversa canónica.
• AmcacheParser de Eric Zimmerman. La herramienta offline estándar de facto en la industria.