¿Dónde está la clave del Registro de Amcache?

Amcache es su propio archivo hive independiente, no una clave bajo HKLM. El archivo vive en:

C:\Windows\AppCompat\Programs\Amcache.hve
C:\Windows\AppCompat\Programs\Amcache.hve.LOG1
C:\Windows\AppCompat\Programs\Amcache.hve.LOG2

Cuando el Compatibility Appraiser la carga (o cuando la cargas tú mismo con reg load), el contenido se monta bajo HKLM\Amcache con:

Root\
├── InventoryApplicationFile     <- la clave estrella
├── InventoryApplication
├── InventoryDriverBinary
├── InventoryDeviceContainer
├── InventoryDevicePnp
├── InventoryApplicationShortcut
├── Programs   (legacy)
└── File       (legacy)

Para el recorrido completo clave por clave, ve estructura del Registro de Amcache.

"Clave del Registro" vs "archivo hive" — la distinción que despista a la gente#

La razón por la que "dónde está la clave del Registro de Amcache" es una pregunta confusa es que Amcache es ambas cosas y ninguna en la forma en que la gente espera:

• No es una clave que se asienta permanentemente bajo HKLM\SOFTWARE o HKLM\SYSTEM como la mayoría de los ajustes. No la encontrarás navegando por regedit en un sistema por defecto.
• Sí es una hive del Registro — el mismo formato binario que SYSTEM, SOFTWARE y NTUSER.DAT — almacenada como un archivo independiente en disco. Cuando se monta, su contenido se direcciona como claves del Registro bajo HKLM\Amcache\Root\....

Así que la respuesta honesta a "dónde está la clave" es: los datos viven en un archivo (Amcache.hve), y solo se convierten en un conjunto de claves del Registro cuando algo — el appraiser, o tú — monta ese archivo. Forensemente casi nunca tocas la forma montada; copias el archivo y lo parseas offline. La ubicación del archivo se cubre en dónde vive Amcache.hve en disco.

Por qué no está en HKLM por defecto#

Amcache es una hive de montaje perezoso. Windows la carga cuando el appraiser la necesita y la descarga después. Mismo patrón que las hives NTUSER.DAT por usuario: solo montadas cuando el usuario ha iniciado sesión.

Puedes ver si Amcache está cargada en este momento con:

Get-ChildItem HKLM:\ | Where-Object Name -like '*Amcache*'

A mitad de una pasada del appraiser puede que veas HKLM\Amcache en la lista. La mayor parte del tiempo la hive está descargada y el archivo cerrado.

Cargar la hive manualmente#

Si quieres recorrerla en regedit o reg.exe:

# Copia la hive viva (el archivo está bloqueado mientras está cargada)
Copy-Item 'C:\Windows\AppCompat\Programs\Amcache.hve' 'C:\Triage\' -Force
 
# Carga la copia
reg load HKLM\TempAmcache 'C:\Triage\Amcache.hve'
 
# Consulta
reg query HKLM\TempAmcache\Root
reg query HKLM\TempAmcache\Root\InventoryApplicationFile
 
# Descarga siempre
reg unload HKLM\TempAmcache

Para trabajo DFIR real, usa AmcacheParser en su lugar. Parsea la hive directamente sin necesidad de cargarla bajo HKLM, reproduce los logs de transacción automáticamente y produce CSVs estructurados. reg.exe está bien para hurgar ad-hoc. No está bien para análisis de verdad. Una vez la tienes parseada, cómo encontrar evidencia de ejecución con Amcache recorre el resto del flujo de trabajo.

Qué vive bajo cada clave#

Una vez montada, las claves bajo Root son donde está la evidencia. La estrella, InventoryApplicationFile, contiene una subclave por PE con su SHA-1, ruta y publisher; InventoryDeviceContainer e InventoryDevicePnp contienen el historial de USB y dispositivos; InventoryDriverBinary contiene binarios de driver. El significado campo por campo de cada valor está en las columnas de salida de AmcacheParser, y la visión conceptual en entender Amcache.

Relacionado#

• Dónde está Amcache.hve en disco
• Estructura del Registro de Amcache
• Guía completa de AmcacheParser
• Cómo encontrar evidencia de ejecución con Amcache
• Entender Amcache