포렌식/윈도우 - Windows 10 Artifacts - Amcache.hve

본 게시글은 인프런 '맥으로 배우는 윈도우즈 포렌식'를 참고하여 작성했습니다. (www.inflearn.com/course/forensic-2/dashboard)

 

맥으로 배우는 윈도우즈 포렌식 - 인프런

#1. Amcache.hve

1-1. Amcache.hve 란?

최근 실행한 파일들에 대한 정보이다. 자세한 내용은 다음 링크 참고 (www.forensic-artifact.com/windows-forensics/amcache)

레지스트리와 같은 하이브 방식으로 되어 있다.

 

Amcache를 레지스트리 뷰어로 열어서 InventoryApplication으로 확인하면 아래와 같은 정보를 볼 수 있다.

 

InventoryDeviceContainer에서는 DLL의 용도(카테코리?정도)를 알 수 있다. 정확한 동작 방식은 모르지만 힌트를 얻을 수 있다는 말이다. (ex. 아래 사진에서는 network 관련 모듈)

 

InventoryDriverBinary에서는 드라이버의 이름을 포함한 드라이버 정보를 얻을 수 있다. 출처가 불명확하거나 의심 시점에 설치된 드라이브는 악성일 가능성이 있다.

 

강의에서는 Amcache.hve를  파싱하기 위해 amcache.py를 사용한다.

 

 

 

 

 

 

끝.