Articles avec le tag « glossary »

• Qu'est-ce que SRUM (SRUDB.dat) ? (glossaire)

  SRUM est la base ESE que Windows utilise pour suivre l'usage des ressources par application, par heure, sur 30 à 60 jours. Le seul artefact Windows avec des totaux d'octets réseau par application. Critique pour l'exfiltration.

  2026-05-24

• Qu'est-ce que Shimcache (AppCompatCache) ? (glossaire)

  Shimcache est le cache du loader maintenu par le noyau dans la ruche SYSTEM. 1024 entrées, pas de hash, périmé jusqu'au redémarrage. Différent d'Amcache ; appariez-les.

  2026-05-24

• Qu'est-ce que le ProgramId Amcache ? (glossaire)

  ProgramId est le hash d'identité d'application de 44 caractères qu'Amcache stocke. Stable entre hôtes pour la même installation. Attrape les recompilations et renommages que Hash rate.

  2026-05-24

• Qu'est-ce que Windows Prefetch ? (glossaire)

  Windows Prefetch est le répertoire de fichiers .pf qui prouve l'exécution. Jusqu'à 8-10 temps d'exécution par binaire plus les fichiers chargés dans les dix premières secondes. La preuve d'exécution la plus forte sous Windows.

  2026-05-24

• Qu'est-ce que LinkDate dans Amcache ? (glossaire)

  LinkDate est le PE TimeDateStamp. Contrôlable par l'attaquant. Utilisez-le pour le regroupement de builds, pas pour les chronologies d'hôte.

  2026-05-24

• Qu'est-ce que KeyLastWriteTimestamp dans Amcache ? (glossaire)

  Le temps d'écriture registre de la clé Amcache. Ce qui se rapproche le plus de 'quand l'appraiser l'a enregistré'. Le champ que les nouveaux analystes confondent le plus souvent avec LinkDate.

  2026-05-24

• Qu'est-ce que Root\InventoryApplicationFile ? (glossaire)

  La clé principale d'Amcache. Une sous-clé par PE inventorié par l'appraiser, avec hash, chemin, éditeur, date de lien et un horodatage d'écriture du registre. Là où passent 90 % du temps d'analyste.

  2026-05-24

• Qu'est-ce que le FileId Amcache ? (glossaire)

  FileId, c'est '0000' plus le SHA-1 des 31 premiers MiB du fichier. Retirez le préfixe avant de taper VirusTotal, sinon il vous renverra rien en silence.

  2026-05-24

• Qu'est-ce que le triage DFIR ? (glossaire)

  Le triage est la passe rapide qui décide si un hôte mérite une investigation complète. Amcache est l'un des artefacts les moins coûteux et les plus productifs du kit de triage.

  2026-05-24

• Qu'est-ce que le Compatibility Appraiser ? (glossaire)

  La tâche planifiée qui parcourt le système de fichiers, inventorie les fichiers PE et écrit les enregistrements dans Amcache.hve. Comprenez sa cadence, sinon vous lirez mal votre timeline.

  2026-05-24

• Qu'est-ce que le BYOVD (Bring-Your-Own-Vulnerable-Driver) ? (glossaire)

  Le BYOVD consiste à charger un pilote noyau signé mais vulnérable pour obtenir le ring 0 sans contourner Driver Signature Enforcement. Les enregistrements de pilotes d'Amcache permettent de le repérer.

  2026-05-24

• Qu'est-ce qu'Amcache.hve ? (glossaire)

  Amcache.hve est la ruche Windows dans laquelle le Compatibility Appraiser inscrit chaque PE qu'il trouve, avec SHA-1, chemin complet, éditeur et horodatage d'inventaire. Survit au binaire qu'elle enregistre.

  2026-05-24