Artefakt
Amcache.hve-Analys (Programinstallation & Hashar)
En registerfil i Windows som registrerar detaljerad information om installerade och körda program, inklusive SHA-1-hashar och första körtid.
🔬 Forensisk Betydelse & Utredningsmetodik
Kraftfull artefakt för att knyta en specifik version av ett skadeprogram till maskinen via dess unika hash.
⚙️ Tekniska Parametrar & Verktygsstöd
- Filsystemsplacering (på undersökt media):
C:\Windows\appcompat\Programs\Amcache.hve - Forensiska verktyg: AmcacheParser (Eric Zimmerman) ↗ RegRipper
- MITRE ATT&CK:
T1059 ↗