Quand cette clé est-elle apparue ?

Windows 10 build 1709, octobre 2017 (Fall Creators Update). Les versions antérieures de Windows utilisaient le schéma legacy Root\Programs et Root\File, bien plus pauvre par fichier.

Quelles valeurs porte chaque sous-clé ?

Name, LowerCaseLongPath, FileId (SHA-1 avec préfixe 0000), Size, IsPeFile, IsOsComponent, Publisher, Version, BinFileVersion, BinProductVersion, ProductName, ProductVersion, LinkDate, Language, Usn, ProgramId, et les métadonnées KeyLastWriteTimestamp propres à la clé.

Associé ou non associé ?

Les entrées associées ont un ProgramId qui correspond à un enregistrement dans Root\InventoryApplication. Elles appartiennent à des produits installés. Les entrées non associées n'en ont pas. C'est là que vivent l'outillage d'attaquant, les téléchargements ponctuels et les binaires uniques.

Combien d'entrées sont normales ?

Des centaines à quelques milliers sur une station Windows 10/11 typique. Les machines de développement peuvent dépasser 10 000. Les serveurs restent généralement dans les bas centaines.

Enregistre-t-elle les DLL ?

Oui sur Windows 10 1709 et ultérieur. Aussi bien les EXE que les DLL tant que l'appraiser les a classés comme fichiers PE.

Qu'est-ce que Root\InventoryApplicationFile ? (glossaire)

Root\InventoryApplicationFile est l'endroit où se déroule réellement l'analyse Amcache. Une sous-clé par PE inventorié par l'appraiser, avec les métadonnées qui transforment une ligne de CSV en conclusion défendable. Si vous ne deviez apprendre qu'une clé Amcache, ce serait celle-ci.

Elle est appariée avec Root\InventoryApplication (le catalogue des produits installés) via ProgramId. Cet appariement est ce qui sépare la sortie d'AmcacheParser entre les CSV Associated et Unassociated, et le CSV Unassociated est l'endroit où vit l'outillage d'attaquant dans la plupart des cas.

Ce que vous obtenez par entrée#

Valeur	Ce qu'elle vous donne
`Name`	Nom de fichier uniquement. `mimikatz.exe`, `update.exe`, ce genre de chose.
`LowerCaseLongPath`	Chemin complet, en minuscules.
`FileId`	`"0000"` + SHA-1 des 31 premiers MiB.
`Size`	Octets.
`IsPeFile`	`1` si c'est un PE.
`IsOsComponent`	`1` si livré avec Windows. Filtrez à `0` pour couper le bruit.
`Publisher` / `PublisherName`	CN de signature et chaîne d'éditeur conviviale. Vide pour les non signés.
`Version`, `BinFileVersion`, `ProductVersion`	Chaînes de version des ressources PE.
`ProductName`	ProductName des ressources PE.
`LinkDate`	PE TimeDateStamp. Contrôlable par l'attaquant.
`Language`	LCID des ressources PE.
`ProgramId`	Identité d'application sur 44 caractères. Joint à `InventoryApplication`.
`Usn`	Entrée du journal USN au moment de l'inventaire.

Plus le LastWriteTimestamp propre à la clé de registre, exposé par AmcacheParser sous KeyLastWriteTimestamp. C'est ce qui se rapproche le plus de « quand l'appraiser a-t-il écrit cette entrée » et le bon pivot pour presque toute question liée au temps.

Le filtre de triage qui fait l'essentiel du travail#

IsPeFile = True
AND Publisher is empty
AND FullPath under \Users\, \AppData\, \ProgramData\, or \Temp\

Appliquez-le à *_UnassociatedFileEntries.csv et vous obtenez une liste assez courte pour être lue à la main. La plupart des lignes sont soit du malware courant, soit l'utilisateur a installé quelque chose de portable. Les deux se résolvent vite.

Pour le tour complet clé par clé, voir Structure du registre Amcache.

Qu'est-ce que Root\InventoryApplicationFile ? (glossaire)

Ce que vous obtenez par entrée#

Le filtre de triage qui fait l'essentiel du travail#

Termes liés#

Articles liés