Análise de Artefatos do Amcache do Windows

Quando Usar

• Determinar quais programas existiram ou foram executados em um sistema Windows durante a resposta a incidentes
• Correlacionar hashes SHA-1 do Amcache com bancos de dados de malware conhecidos (VirusTotal, CIRCL, MISP)
• Construir uma linha do tempo de instalação e execução de aplicativos para investigações forenses
• Identificar executáveis excluídos que deixam rastros no Amcache mesmo após a remoção do arquivo
• Investigar ameaças internas documentando quais aplicativos portáteis ou não autorizados estavam presentes
• Analisar o histórico de carregamento de drivers para detectar rootkits ou módulos maliciosos do kernel

Não use como prova única de execução de programa. O Amcache prova a existência do arquivo e o registro de metadados, mas o ShimCache (AppCompatCache) e o Prefetch fornecem evidências de execução mais fortes. Use os três artefatos juntos para uma análise conclusiva.

Pré-requisitos

• Uma imagem forense ou cópia de triagem ao vivo de C:\Windows\appcompat\Programs\Amcache.hve (e os logs de transação associados .LOG1, .LOG2)
• AmcacheParser de Eric Zimmerman (AmcacheParser.exe) baixado de https://ericzimmerman.github.io/
• Timeline Explorer de Eric Zimmerman para visualizar a saída CSV analisada
• Opcionalmente: Registry Explorer para inspeção manual da colmeia
• Uma lista branca SHA-1 de executáveis conhecidos e bons (por exemplo, conjunto de hashes NSRL) para filtragem
• Runtime .NET 6+ instalado (requerido pelas ferramentas atuais do EZ)
• Acesso de gravação a um diretório de saída para resultados CSV

Fluxo de Trabalho

Etapa 1: Adquirir o Arquivo Amcache.hve

Extraia a colmeia do Amcache de uma imagem forense ou sistema ao vivo:

# From a live system (requires elevated privileges and raw copy tool)
# Amcache.hve is locked by the system; use a raw disk copy tool
# Option A: FTK Imager - mount image and navigate to:
# C:\Windows\appcompat\Programs\Amcache.hve
# Also collect: Amcache.hve.LOG1, Amcache.hve.LOG2

# Option B: Using KAPE for automated triage collection
kape.exe --tsource C: --tdest D:\Evidence\%m --target Amcache

# Option C: From a mounted forensic image (E: = mounted image)
copy "E:\Windows\appcompat\Programs\Amcache.hve" D:\Evidence\
copy "E:\Windows\appcompat\Programs\Amcache.hve.LOG1" D:\Evidence\
copy "E:\Windows\appcompat\Programs\Amcache.hve.LOG2" D:\Evidence\

Sempre colete os arquivos de log de transação (.LOG1, .LOG2) junto com a colmeia. O AmcacheParser reproduz transações não confirmadas desses logs para recuperar os dados mais completos.

Etapa 2: Analisar o Amcache com AmcacheParser

Execute o AmcacheParser contra a colmeia adquirida:

# Basic parsing with CSV output
AmcacheParser.exe -f "D:\Evidence\Amcache.hve" --csv "D:\Evidence\Output"

# Parse with a SHA-1 whitelist to exclude known-good entries (NSRL)
AmcacheParser.exe -f "D:\Evidence\Amcache.hve" -w "D:\Whitelists\nsrl_sha1.txt" --csv "D:\Evidence\Output"

# Parse with a SHA-1 inclusion list (only show matches against known-bad hashes)
AmcacheParser.exe -f "D:\Evidence\Amcache.hve" -b "D:\IOCs\malware_sha1.txt" --csv "D:\Evidence\Output"

# Include deleted entries with high-precision timestamps
AmcacheParser.exe -f "D:\Evidence\Amcache.hve" --csv "D:\Evidence\Output" -i --mp

O AmcacheParser produz vários arquivos CSV no diretório de saída:

Etapa 3: Analisar Entradas de Arquivo para Programas Suspeitos

Abra o AssociatedFileEntries.csv no Timeline Explorer e examine as colunas principais:

Key columns to review:
- ProgramId          : Links file to its parent program entry
- SHA1               : Hash for threat intel lookups
- FullPath           : Original file location on disk
- FileSize           : Size of the executable
- FileKeyLastWriteTimestamp : When the Amcache entry was last updated
- Name               : File name
- Publisher           : Code signing publisher (blank = unsigned)
- BinProductVersion  : Version string from the PE header
- LinkDate           : PE compilation timestamp (useful for detecting timestomping)

…