Amcache.hve est-il un fichier de log ?
Non. Amcache.hve est une ruche de registre Windows au format binaire regf. Même format que les ruches SYSTEM, SOFTWARE et NTUSER.DAT. Un arbre de clés et de valeurs typées. Pas un log plat.
La distinction compte en pratique :
- Un fichier de log ajoute des événements en séquence. Chaque ligne est un événement discret. Les lecteurs parsent ligne par ligne.
- Une ruche de registre tient un arbre de clés (comme des dossiers) et de valeurs typées (
REG_SZ,REG_DWORD,REG_QWORD,REG_BINARY). Les lecteurs parcourent l'arbre.
Amcache stocke une sous-clé par binaire PE inventorié sous Root\InventoryApplicationFile. Chaque sous-clé a 15 à 20 valeurs typées : nom, chemin, hash SHA-1, link date, éditeur, version, etc. Les mises à jour se font sur place. Les anciennes valeurs sont écrasées, pas ajoutées à la suite.
Et les fichiers .LOG ?#
Amcache.hve.LOG1 et Amcache.hve.LOG2 sont des fichiers de log, mais ce sont des journaux de transactions du registre, pas des logs d'événements. Le même mécanisme write-ahead que toute ruche utilise pour bufferiser les écritures récentes avant de les vider dans le fichier principal. Binaires, non lisibles par un humain, et pas destinés à l'audit d'événements.
Récupérez toujours les trois fichiers ensemble. Si vous ne prenez que la ruche, vous pouvez manquer en silence les écritures les plus récentes encore bufferisées dans les journaux au moment de l'acquisition. AmcacheParser les rejoue automatiquement s'ils sont à côté de la ruche.
Pour le chemin et le flux de collecte, voir Où se trouve Amcache.hve sur le disque.
Comment la lire pour de vrai#
Il vous faut un parseur hive-aware :
- AmcacheParser (Eric Zimmerman). CLI canonique côté Windows. Sortie CSV. Voir le guide complet d'AmcacheParser.
- Plugin amcache de RegRipper (Harlan Carvey). Sortie en rapport texte. Voir Plugin amcache de RegRipper.
- Le parseur navigateur de ce site. Rust + WebAssembly, sans installation. Déposez la ruche sur la page d'accueil.
Pour le contexte plus large de l'artefact, voir la Référence Amcache complète.
Articles liés
- À quelle fréquence Amcache est-il mis à jour ?
Environ quotidiennement sur les stations Windows 10/11. Tous les 2 à 5 jours sur les serveurs. Des semaines sur Server Core. Amcache retarde sur la réalité. Planifiez vos timelines en conséquence.
- Pourquoi mon Amcache.hve est-il vide ?
Trois causes courantes : le Compatibility Appraiser est désactivé, l'hôte vient d'être fraîchement imagé, ou vous collectez depuis un Server / Server Core où l'appraiser s'exécute beaucoup moins souvent.
- Où se trouve la clé de registre Amcache ?
Amcache est sa propre ruche située à C:\Windows\AppCompat\Programs\Amcache.hve — pas une clé sous HKLM. Quand elle est chargée par des outils ou par Windows lui-même, elle est montée comme HKLM\Amcache.
- Que contient Amcache.hve ?
Amcache.hve contient des enregistrements d'inventaire pour chaque binaire PE, pilote et périphérique connecté que le Compatibility Appraiser Windows a vu — avec hashes SHA-1, chemins, éditeurs et horodatages.