AmCache — Preuve d'exécution de programmes

Rôle

Amcache.hve enregistre des informations sur les exécutables présents/lancés sur le système : chemin complet, taille, et surtout le hash SHA-1 du binaire — précieux pour identifier un malware même supprimé.

Analyse

# Fichier
C:\Windows\AppCompat\Programs\Amcache.hve

# Parsing
AmcacheParser.exe -f Amcache.hve --csv out/

# Le SHA-1 permet de pivoter vers VirusTotal / IOC

À corréler

Croiser AmCache avec Prefetch, ShimCache (AppCompatCache) et les EVTX pour confirmer une exécution. Le hash SHA-1 stocké est l'atout majeur : recherche d'IOC sans avoir le binaire.