¿Dónde está la clave del registro de Amcache?

Amcache es su propio archivo de hive independiente, no una clave bajo uno de los hives HKLM estándar. El archivo vive en:

C:\Windows\AppCompat\Programs\Amcache.hve
C:\Windows\AppCompat\Programs\Amcache.hve.LOG1
C:\Windows\AppCompat\Programs\Amcache.hve.LOG2

Cuando el Compatibility Appraiser carga el hive (o cuando lo cargas manualmente con reg.exe), el contenido se monta bajo HKLM\Amcache con estas subclaves notables:

Root\
├── InventoryApplicationFile     ← la clave estrella
├── InventoryApplication
├── InventoryDriverBinary
├── InventoryDeviceContainer
├── InventoryDevicePnp
├── InventoryApplicationShortcut
├── Programs   (legado)
└── File       (legado)

Para el tour completo clave por clave, ver Estructura del registro Amcache.

Por qué no está en HKLM por defecto#

Amcache es uno de varios hives "lazy-mounted" — Windows lo carga bajo demanda cuando el appraiser lo necesita, y lo descarga después. Este es el mismo patrón que los hives NTUSER.DAT por usuario: solo se montan cuando el usuario está logueado.

En un sistema corriendo puedes ver si Amcache está actualmente cargado con:

Get-ChildItem HKLM:\ | Where-Object Name -like '*Amcache*'

Si el appraiser está a mitad de corrida, puedes ver HKLM\Amcache listado. La mayor parte del tiempo el hive está descargado y el archivo está cerrado.

Cargar manualmente el hive#

Para inspeccionar el hive en regedit o reg.exe:

# 1. Copia el hive en vivo a un directorio de trabajo (el archivo está bloqueado mientras está cargado)
Copy-Item 'C:\Windows\AppCompat\Programs\Amcache.hve' 'C:\Triage\' -Force
 
# 2. Carga la copia en un punto de montaje temporal
reg load HKLM\TempAmcache 'C:\Triage\Amcache.hve'
 
# 3. Consulta
reg query HKLM\TempAmcache\Root
reg query HKLM\TempAmcache\Root\InventoryApplicationFile
 
# 4. Descarga siempre cuando termines
reg unload HKLM\TempAmcache

Para la mayoría de propósitos DFIR, usa AmcacheParser en su lugar — parsea el hive directamente sin necesidad de cargarlo, produce CSVs estructurados y maneja los journals de transacciones automáticamente.

Relacionado#

Etiquetasqaforensewindowsamcacheregistro

Artículos relacionados

  • ¿Por qué mi Amcache.hve está vacío?

    Tres causas comunes: el Compatibility Appraiser está desactivado, el host está recién imageado, o estás recolectando de un Server / Server Core donde el appraiser corre mucho menos a menudo.

  • ¿Qué contiene Amcache.hve?

    Amcache.hve contiene registros de inventario para cada binario PE, driver y dispositivo conectado que el Compatibility Appraiser de Windows ha visto — con hashes SHA-1, rutas, publishers y marcas de tiempo.

  • ¿Cuál es la diferencia entre un archivo .pf y una entrada de Amcache?

    Los archivos .pf son registros de Windows Prefetch — prueba de que un binario se ejecutó, con marcas de tiempo de ejecución y listas de archivos cargados. Las entradas de Amcache registran presencia, con el hash SHA-1 y metadatos.

  • ¿Es Amcache.hve un archivo de log?

    No. Amcache.hve es un hive del registro de Windows — un árbol estructurado de claves-valores en el mismo formato binario que SYSTEM y NTUSER.DAT — no un log plano.

← Volver a todos los artículos