Qu'est-ce qu'Amcache.hve ? (glossaire)
Amcache.hve est une ruche du registre Windows qui enregistre
chaque binaire PE que le Microsoft Compatibility Appraiser a
inventorié sur l'hôte. Chaque entrée d'inventaire inclut le chemin
complet du fichier, un hash SHA-1 des ~31 premiers Mio, la date de
link PE, l'éditeur, la version et un horodatage indiquant quand
l'appraiser a enregistré l'entrée.
C'est l'un des quatre artefacts fondamentaux du DFIR Windows — aux côtés de Prefetch, ShimCache et du journal d'événements Security — et la meilleure source unique de preuves post-suppression des binaires ayant été présents sur un hôte.
En un coup d'œil#
- Chemin :
C:\Windows\AppCompat\Programs\Amcache.hve - Fichiers associés :
Amcache.hve.LOG1,Amcache.hve.LOG2(journaux de transactions — à toujours collecter avec la ruche) - Format : ruche du registre Windows standard (identique à
SYSTEM,SOFTWARE) - Rempli par : la tâche planifiée Compatibility Appraiser
- Cadence de mise à jour : environ quotidienne sur les postes Windows 10 / 11
- Rétention : mois à années sur les hôtes de longue durée
- Enregistre : fichiers PE (EXE, DLL), pilotes, périphériques, applications
Pourquoi les analystes s'y intéressent#
Amcache survit aux binaires qu'il enregistre. Un wiper peut supprimer un fichier du disque ; l'instantané d'inventaire — incluant le hash du fichier, son chemin et ses métadonnées — persiste typiquement dans la ruche longtemps après. Cela fait d'Amcache l'artefact Windows le plus fiable pour répondre à la question « ce binaire a-t-il déjà été présent sur cet hôte ? » lorsque le binaire lui-même a disparu.
Pour la référence d'artefact plus large, voir la référence complète Amcache ; pour le chemin du fichier et le workflow de collecte, voir Où se trouve Amcache.hve sur le disque ; pour la structure du registre à l'intérieur de la ruche, voir Structure du registre Amcache.
Termes apparentés#
- Compatibility Appraiser — la tâche planifiée qui remplit Amcache.
- InventoryApplicationFile — la clé de registre principale à l'intérieur d'Amcache.
- FileId — l'identifiant de contenu basé sur SHA-1 que porte chaque entrée.
- ShimCache et Prefetch — artefacts voisins dans la pile de preuves d'exécution Windows.
Pour explorer un fichier Amcache.hve dans votre navigateur sans
rien installer, déposez-le sur la page d'accueil du parser.
Articles liés
- Qu'est-ce que le ProgramId Amcache ? (glossaire)
ProgramId est le hash d'identité applicative de 44 caractères qu'Amcache attribue à chaque application logique. Le même ProgramId sur différents hôtes signifie la même installation d'application.
- Qu'est-ce que LinkDate dans Amcache ? (glossaire)
LinkDate est le TimeDateStamp de l'en-tête PE qu'Amcache enregistre — quand le binaire a été compilé ou linké, pas quand il est apparu sur l'hôte.
- Qu'est-ce que KeyLastWriteTimestamp dans Amcache ? (glossaire)
KeyLastWriteTimestamp est l'heure de dernière écriture au niveau registre d'une entrée Amcache — ce qui se rapproche le plus, dans Amcache, de « quand l'appraiser a enregistré ce fichier ».
- Qu'est-ce que Root\InventoryApplicationFile ? (glossaire)
InventoryApplicationFile est la clé de registre principale d'Amcache — une sous-clé par binaire PE inventorié par l'appraiser, avec chemin, SHA-1, éditeur, date de link et horodatages.