Amcache y compatibilidad de aplicaciones

2 tareas · 40 min · Principiante

0 de 2 · 0%

Amcache.hve es una colmena de registro ubicada en C:\Windows\appcompat\Programs\Amcache.hve. Registra información detallada de programas ejecutados o instalados con fines de compatibilidad: hash SHA-1 del archivo, marca de tiempo de compilación del encabezado PE, tamaño en bytes, ruta completa y estado de firma digital. Es de valor extraordinario cuando el malware se ha autodestruido del disco pero su huella SHA-1 perdura en Amcache.

Responde para continuar

¿Por qué es crucial el artefacto Amcache.hve para investigar malware que se eliminó tras su ejecución?

Elimina automáticamente el registro de eventos de seguridad de Windows Conserva el hash SHA-1, la ruta original y la fecha de compilación incluso si el archivo ya no existe en el disco Permite restaurar la contraseña del usuario administrador sin reiniciar la máquina Bloquea las conexiones de red salientes hacia servidores de comando y control

Ver pista de ayuda

Amcache preserva metadatos y hashes de binarios ya desaparecidos del sistema de archivos.

Revisa en la tabla amcache_entries la ruta de archivo (file_path) del binario con firma UNSIGNED.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el file_path del ejecutable no firmado registrado en amcache_entries?

Ver pista de ayuda

Copia el contenido íntegro de file_path en la fila de amcache_entries.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis Forense de Windows · Prefetch, Amcache & MFT

Forensic Artifact Analysis Engine (EZTools Output Parser)

Tablas

prefetch_runs

file_name
run_count
last_run_time
volume_path
source_hash

amcache_entries

sha1_hash
file_path
compile_time
pe_file_size
signer_name

timeline_gap

event_id
timestamp_utc
artifact_type
description
anomaly_flag

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 El archivo Amcache.hve como testigo de binarios efímeros

2 Ruta del binario no firmado en Amcache Lab

Whoami-Labs Pro utiliza cookies