Aller au contenu
Aucun envoiAmcache.hve, analysé sur votre machine

Amcache Parser : chaque programme inventorié par Windows

Analyseur Amcache en ligne pour les ruches du registre Windows Amcache.hve. S'exécute entièrement dans votre navigateur via WebAssembly — rien n'est envoyé.

  • Rust → WebAssembly
  • Les fichiers restent dans le navigateur
  • ZIP & collectes KAPE
  • Export CSV / JSON

Vous cherchez le CLI AmcacheParser d'Eric Zimmerman ? Lire le guide complet →

Déposez Amcache.hve ici ou cliquez pour choisir un fichierAmcache.hve · dossier · collecte ZIPExemple : un Amcache.hve synthétique issu d'une intrusion fictive (poste FIN-WKS-07). Aucune donnée réelle. Astuce : ouvrez m64.exe et centrez la plage horaire dessus (±5 min) pour isoler l’intrusion.

100 % côté client. Le fichier est lu en mémoire et n'est jamais envoyé à un serveur.

Comment récupérer vos données

Guide de collecte complet →
  1. CollecterLancez une commande ci-dessous
  2. DéposerLe fichier, dossier ou ZIP ici
  3. Rester privéRien ne quitte votre navigateur
recommandé

Poste Windows 8+ allumé · PowerShell en administrateur · rien à installer (esentutl intégré)

PowerShell (Admin) : ruche + journaux via un cliché VSS
$d = "C:\triage\amcache-$(Get-Date -Format yyyyMMdd-HHmmss)"
New-Item -ItemType Directory -Force -Path $d | Out-Null
foreach ($f in 'Amcache.hve','Amcache.hve.LOG1','Amcache.hve.LOG2') {
  esentutl.exe /y /vss "C:\Windows\AppCompat\Programs\$f" /d "$d\$f"
}
Invoke-Item $d

Copie Amcache.hve, .LOG1 et .LOG2 via un cliché instantané de volume (le fichier actif est verrouillé) dans un nouveau dossier C:\triage\amcache-…, puis l’ouvre dans l’Explorateur. Glissez ce dossier, ou simplement Amcache.hve, sur la zone de dépôt.

Pièges

  • Lancez en administrateur. Une simple copy ou copie dans l’Explorateur de la ruche active échoue (fichier utilisé) ou produit un fichier vide ou rempli de zéros, que la zone de dépôt signale comme « Uniquement des zéros ». Utilisez la commande par cliché VSS ou un outil de triage.
  • .LOG1 / .LOG2 sont reconnus mais pas rejoués ici. Si la ruche est « dirty », les entrées les plus récentes peuvent manquer : rejouez d’abord les journaux (rla.exe, Registry Explorer), puis déposez la ruche.
  • Windows 7 / Server 2008 R2 n’a pas d’Amcache.hve : RecentFileCache.bcf est un autre format, non analysé ici.
Pensé pour le triage

De la ruche à la réponse en un dépôt

Amcache enregistre ce qui arrive sur un poste Windows : chemin, taille, éditeur, date de liaison PE et SHA-1 de chaque exécutable. Le parseur en fait une base que vous pouvez chasser.

  • Pivots SHA-1

    Le FileId de chaque fichier est décodé en SHA-1 propre, avec recherche VirusTotal et MalwareBazaar en un clic.

  • Corrélation fichier ↔ programme

    InventoryApplicationFile est relié à InventoryApplication via ProgramId : les exécutables orphelins ressortent comme « non associés ».

  • Indices de risque

    PE non signés, exécutables sous Temp, AppData, ProgramData ou Users\Public et pilotes non signés sont signalés pour un premier tri.

  • Vue chronologique

    Triez n'importe quelle catégorie par date de dernière écriture de clé pour reconstituer l'arrivée des logiciels.

  • Collectes de triage

    Déposez un ZIP KAPE ou Velociraptor, ou un dossier entier : les ruches Amcache sont trouvées, et chaque fichier ignoré est expliqué.

  • Sessions enregistrées

    Votre analyse est sauvegardée automatiquement dans ce navigateur (IndexedDB). Nommez vos sessions, rouvrez-les — rien ne quitte la machine.

Contenu

Les catégories conservées par Amcache

  1. InventoryApplicationFileExécutables vus sur le disque : chemin complet, SHA-1, taille, éditeur, version, date de liaison PE.
  2. InventoryApplicationProgrammes installés : nom, éditeur, version, date d'installation, commande de désinstallation.
  3. InventoryDriverBinaryPilotes noyau avec statut de signature, hash et horodatages — utile pour la chasse BYOVD.
  4. InventoryDevicePnpPériphériques Plug-and-Play, y compris les clés USB branchées sur le poste.
  5. InventoryApplicationShortcutRaccourcis du menu Démarrer pointant vers les programmes installés.
  6. File / Programs (Windows 8)L'ancien schéma des premières versions d'Amcache, analysé avec les mêmes pivots.
Fonctionnement

Trois étapes, zéro envoi

  1. 01

    Collecter

    Copiez Amcache.hve avec ses fichiers .LOG (KAPE, Velociraptor, FTK Imager ou copie VSS).

  2. 02

    Déposer

    Déposez la ruche, un dossier ou un ZIP de collecte. Le parseur WebAssembly tourne dans un worker, en mémoire.

  3. 03

    Chasser

    Filtrez, triez, pivotez sur les hashes, puis exportez en CSV ou JSON pour votre chronologie.

Outils associés

Les artefacts qui répondent à la question suivante de la même enquête.

Questions fréquentes des analystes

Amcache prouve-t-il qu'un programme a été exécuté ?

Pas à lui seul. Depuis Windows 10, Amcache est un inventaire : il prouve qu'un fichier était présent et analysé. Corroborez l'exécution avec Prefetch, ShimCache, SRUM ou les journaux d'événements.

Mon Amcache.hve est-il envoyé quelque part ?

Non. Le fichier est lu par un parseur WebAssembly dans votre onglet. Les sessions enregistrées restent dans l'IndexedDB de votre navigateur et ne sont jamais envoyées à un serveur.

Puis-je déposer une collecte KAPE ou Velociraptor ?

Oui. Déposez le ZIP ou le dossier extrait : chaque Amcache.hve est analysé, et les autres fichiers sont listés avec la raison de leur exclusion.

Et les fichiers .LOG1 / .LOG2 ?

Ils sont reconnus mais pas rejoués. Si la ruche est sale, rejouez d'abord les journaux de transactions (par exemple avec rla.exe), sinon les entrées les plus récentes peuvent manquer.

Quelle différence avec AmcacheParser d'Eric Zimmerman ?

Les colonnes suivent la sortie CSV d'AmcacheParser, les exports s'intègrent donc aux workflows existants. Cet outil ajoute filtrage, indices de risque et pivots de hash dans le navigateur, sans installation.

Ouvrez votre Amcache.hve maintenant

Sans compte, sans installation, sans envoi.

Déposer une ruche