| 用途 | 程序来源与时间佐证 |
|---|---|
| 位置 | C:/Windows/AppCompat/Programs/Amcache.hve |
解析
解析
AmcacheParser.exe -f Amcache.hve --csv out/ --csvf amcache.csvSHA1 可与样本库比对，但并非所有路径都含哈希。
Amcache 使用痕迹
Amcache 存储本机出现过的可执行文件与安装信息：文件首次出现时间与 SHA1 常被用作横向比对线索。
易错点
- 记录的是"出现过"而非"执行过"，措辞需准确
- hve 需离线加载分析，勿在生产机上原地改
数据来源与参考
- Zimmerman AmcacheParser 文档