AmCache

Définition

AmCache (AmCache.hve) est une base de données Windows introduite avec Windows 8 et Server 2012, stockée dans C:\Windows\AppCompat\Programs\AmCache.hve. Elle enregistre des informations détaillées sur les programmes qui ont été installés ou exécutés sur le système, constituant une source forensique précieuse pour démontrer l'exécution de fichiers potentiellement malveillants. Le fonctionnement d'AmCache est lié à la compatibilité des applications Windows. Le service Programme de compatibilité des applications collecte automatiquement des métadonnées sur les exécutables : chemin complet, nom du fichier, taille, hash SHA-1 ou SHA-256 selon la version Windows, date de création, date de dernière modification, version de l'exécutable, nom de l'éditeur, et dans certaines versions, des informations sur le programme d'installation (ProgramId). D'un point de vue forensique, AmCache présente plusieurs avantages majeurs. Premièrement, il fournit des hashes SHA-1 des exécutables, permettant leur identification directe via des bases de menaces (VirusTotal, NSRL). Si le malware a été supprimé, son hash dans AmCache constitue une preuve de son exécution passée. Deuxièmement, les timestamps d'AmCache indiquent quand un fichier a été pour la première fois enregistré dans la base, ce qui correspond généralement à sa première exécution ou installation. Les structures internes d'AmCache ont évolué entre les versions de Windows. Sous Windows 8/8.1 et Server 2012/2012R2, les entrées sont sous InventoryApplicationFile. Sous Windows 10 et Server 2016+, la structure a été réorganisée avec de nouvelles sous-clés. Les outils forensiques modernes gèrent ces différences de version automatiquement. La combinaison d'AmCache avec ShimCache (AppCompatCache dans la ruche SYSTEM) fournit une vue complémentaire de l'exécution des programmes. AmCache est plus fiable car il enregistre des hashes cryptographiques, tandis que ShimCache ne garantit pas que le programme a été effectivement exécuté (il peut simplement avoir été détecté par le système de compatibilité). Ensemble, ces deux artefacts permettent une reconstruction robuste de l'historique d'exécution des programmes. Pour les analyses forensiques impliquant des malwares fileless ou des LOLBins (Living Off the Land Binaries), AmCache peut révéler des exécutions de PowerShell, WMI, ou d'outils légitimes détournés à des fins malveillantes, avec les hashes et chemins correspondants.