Où se trouve la clé de registre Amcache ?

Amcache est sa propre ruche autonome, pas une clé sous l'une des ruches HKLM standard. Le fichier vit à :

C:\Windows\AppCompat\Programs\Amcache.hve
C:\Windows\AppCompat\Programs\Amcache.hve.LOG1
C:\Windows\AppCompat\Programs\Amcache.hve.LOG2

Lorsque le Compatibility Appraiser charge la ruche (ou lorsque vous la chargez manuellement avec reg.exe), le contenu est monté sous HKLM\Amcache avec ces sous-clés notables :

Root\
├── InventoryApplicationFile     ← la clé principale
├── InventoryApplication
├── InventoryDriverBinary
├── InventoryDeviceContainer
├── InventoryDevicePnp
├── InventoryApplicationShortcut
├── Programs   (hérité)
└── File       (hérité)

Pour la visite complète clé par clé, voir Structure du registre Amcache.

Pourquoi elle n'est pas dans HKLM par défaut#

Amcache est l'une de plusieurs ruches « lazy-mounted » — Windows la charge à la demande quand l'appraiser en a besoin, et la décharge ensuite. C'est le même motif que les ruches NTUSER.DAT par utilisateur : elles ne sont montées que lorsque l'utilisateur est connecté.

Sur un système en cours d'exécution, vous pouvez voir si Amcache est actuellement chargé avec :

Get-ChildItem HKLM:\ | Where-Object Name -like '*Amcache*'

Si l'appraiser est en pleine exécution, vous pouvez voir HKLM\Amcache listé. La plupart du temps, la ruche est déchargée et le fichier est fermé.

Charger manuellement la ruche#

Pour inspecter la ruche dans regedit ou reg.exe :

# 1. Copier la ruche live dans un répertoire de travail (le fichier est verrouillé pendant qu'il est chargé)
Copy-Item 'C:\Windows\AppCompat\Programs\Amcache.hve' 'C:\Triage\' -Force
 
# 2. Charger la copie dans un point de montage temporaire
reg load HKLM\TempAmcache 'C:\Triage\Amcache.hve'
 
# 3. Interroger
reg query HKLM\TempAmcache\Root
reg query HKLM\TempAmcache\Root\InventoryApplicationFile
 
# 4. Toujours décharger une fois terminé
reg unload HKLM\TempAmcache

Pour la plupart des besoins DFIR, utilisez AmcacheParser à la place — il parse la ruche directement sans avoir besoin de la charger, produit des CSV structurés et gère les journaux de transactions automatiquement.

Voir aussi#

Tagsqaforensiquewindowsamcacheregistre

Articles liés

  • Pourquoi mon Amcache.hve est-il vide ?

    Trois causes courantes : le Compatibility Appraiser est désactivé, l'hôte vient d'être fraîchement imagé, ou vous collectez depuis un Server / Server Core où l'appraiser s'exécute beaucoup moins souvent.

  • Que contient Amcache.hve ?

    Amcache.hve contient des enregistrements d'inventaire pour chaque binaire PE, pilote et périphérique connecté que le Compatibility Appraiser Windows a vu — avec hashes SHA-1, chemins, éditeurs et horodatages.

  • Qu'est-ce qu'un fichier .pf vs une entrée Amcache ?

    Les fichiers .pf sont des enregistrements Windows Prefetch — preuve qu'un binaire s'est exécuté, avec horodatages d'exécution et listes de fichiers chargés. Les entrées Amcache enregistrent la présence, avec le hash SHA-1 et les métadonnées.

  • Amcache.hve est-il un fichier de log ?

    Non. Amcache.hve est une ruche du registre Windows — une arborescence structurée clé-valeur dans le même format binaire que SYSTEM et NTUSER.DAT — pas un log plat.

← Retour à tous les articles