Articles avec le tag « forensics »

• Forensique Amcache : comment trouver des preuves d'exécution

  Prouvez qu'un programme a tourné sous Windows avec Amcache.hve : acquérir, parser, filtrer, pivoter sur le SHA-1, corroborer — et les limites qui piègent.

  2026-06-12

• Où se trouve la clé de registre Amcache ?

  Amcache est sa propre ruche, pas une clé sous HKLM. Chargée à la demande par l'appraiser. Montée sur HKLM\Amcache quand active.

  2026-05-24

• Amcache.hve est-il un fichier de log ?

  Non. C'est une ruche de registre au même format binaire que SYSTEM et NTUSER.DAT. Un arbre de clés typées, pas un flux append-only plat.

  2026-05-24

• À quelle fréquence Amcache est-il mis à jour ?

  Environ quotidiennement sur les stations Windows 10/11. Tous les 2 à 5 jours sur les serveurs. Des semaines sur Server Core. Amcache retarde sur la réalité. Planifiez vos timelines en conséquence.

  2026-05-24

• Qu'est-ce que SRUM (SRUDB.dat) ? (glossaire)

  SRUM est la base ESE que Windows utilise pour suivre l'usage des ressources par application, par heure, sur 30 à 60 jours. Le seul artefact Windows avec des totaux d'octets réseau par application. Critique pour l'exfiltration.

  2026-05-24

• Qu'est-ce que Shimcache (AppCompatCache) ? (glossaire)

  Shimcache est le cache du loader maintenu par le noyau dans la ruche SYSTEM. 1024 entrées, pas de hash, périmé jusqu'au redémarrage. Différent d'Amcache ; appariez-les.

  2026-05-24

• Qu'est-ce que le ProgramId Amcache ? (glossaire)

  ProgramId est le hash d'identité d'application de 44 caractères qu'Amcache stocke. Stable entre hôtes pour la même installation. Attrape les recompilations et renommages que Hash rate.

  2026-05-24

• Qu'est-ce que Windows Prefetch ? (glossaire)

  Windows Prefetch est le répertoire de fichiers .pf qui prouve l'exécution. Jusqu'à 8-10 temps d'exécution par binaire plus les fichiers chargés dans les dix premières secondes. La preuve d'exécution la plus forte sous Windows.

  2026-05-24

• Qu'est-ce que LinkDate dans Amcache ? (glossaire)

  LinkDate est le PE TimeDateStamp. Contrôlable par l'attaquant. Utilisez-le pour le regroupement de builds, pas pour les chronologies d'hôte.

  2026-05-24

• Qu'est-ce que KeyLastWriteTimestamp dans Amcache ? (glossaire)

  Le temps d'écriture registre de la clé Amcache. Ce qui se rapproche le plus de 'quand l'appraiser l'a enregistré'. Le champ que les nouveaux analystes confondent le plus souvent avec LinkDate.

  2026-05-24

• Qu'est-ce que Root\InventoryApplicationFile ? (glossaire)

  La clé principale d'Amcache. Une sous-clé par PE inventorié par l'appraiser, avec hash, chemin, éditeur, date de lien et un horodatage d'écriture du registre. Là où passent 90 % du temps d'analyste.

  2026-05-24

• Qu'est-ce que le FileId Amcache ? (glossaire)

  FileId, c'est '0000' plus le SHA-1 des 31 premiers MiB du fichier. Retirez le préfixe avant de taper VirusTotal, sinon il vous renverra rien en silence.

  2026-05-24

• Qu'est-ce que le triage DFIR ? (glossaire)

  Le triage est la passe rapide qui décide si un hôte mérite une investigation complète. Amcache est l'un des artefacts les moins coûteux et les plus productifs du kit de triage.

  2026-05-24

• Qu'est-ce que le Compatibility Appraiser ? (glossaire)

  La tâche planifiée qui parcourt le système de fichiers, inventorie les fichiers PE et écrit les enregistrements dans Amcache.hve. Comprenez sa cadence, sinon vous lirez mal votre timeline.

  2026-05-24

• Qu'est-ce que le BYOVD (Bring-Your-Own-Vulnerable-Driver) ? (glossaire)

  Le BYOVD consiste à charger un pilote noyau signé mais vulnérable pour obtenir le ring 0 sans contourner Driver Signature Enforcement. Les enregistrements de pilotes d'Amcache permettent de le repérer.

  2026-05-24

• Qu'est-ce qu'Amcache.hve ? (glossaire)

  Amcache.hve est la ruche Windows dans laquelle le Compatibility Appraiser inscrit chaque PE qu'il trouve, avec SHA-1, chemin complet, éditeur et horodatage d'inventaire. Survit au binaire qu'elle enregistre.

  2026-05-24

• Où se trouve Amcache.hve sur le disque (et comment le collecter)

  Chemin : C:\Windows\AppCompat\Programs\Amcache.hve plus les fichiers .LOG. Toujours les trois. Et la bonne façon de collecter depuis un hôte vivant et depuis des clichés.

  2026-05-24

• FileId Amcache expliqué : le format de hash SHA-1 que Windows stocke

  FileId est '0000' plus le SHA-1 des 31 premiers MiB. Retirez le préfixe ou vos lookups VirusTotal ne renvoient silencieusement rien. La référence complète, avec les pièges.

  2026-05-24

• Récupérer la preuve de binaires supprimés depuis Amcache

  Amcache survit aux binaires qu'elle enregistre. Chemin, SHA-1, éditeur, link date et moment d'inventaire persistent des mois après que l'attaquant a effacé le fichier. Le workflow pratique.

  2026-05-24

• Amcache : la référence forensique complète de la ruche Windows .hve

  La référence complète d'Amcache.hve : ce que l'appraiser enregistre par PE — SHA-1, chemin, éditeur, link date — du format à l'usage investigatif.

  2026-05-24

• Comprendre Amcache : ce que c'est et pourquoi le DFIR s'en soucie

  Ce qu'enregistre Amcache.hve, comment l'appraiser la construit, quelles clés comptent, et pourquoi c'est l'un des artefacts les plus riches du DFIR Windows.

  2026-05-10