Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 043

Amcache.hve

Что такое Amcache.hve?

Amcache.hveКуст реестра Windows, фиксирующий подробные метаданные (включая SHA-1) о каждом исполняемом файле, который запускался или присутствовал в системе; в современных Windows — веское доказательство запуска.

Amcache.hve расположен в C:\Windows\AppCompat\Programs\ и заполняется службой Application Experience. Он хранит подробные метаданные об исполняемых файлах, драйверах и установленных программах: полный путь, размер, время компиляции PE, время последнего изменения, издателя и SHA-1 первых 31 МБ файла. Начиная с Windows 8 Amcache фактически вытеснил Shimcache как основной артефакт исполнения, поскольку фиксирует и образцы, которые были лишь просканированы, а не обязательно запущены. Криминалисты применяют AmcacheParser (Эрик Циммерман) для извлечения записей InventoryApplicationFile и сверяют хеши с threat intelligence, чтобы выявить давно удалённое ВПО.

● Примеры

  1. 01

    Идентификация удалённого маяка Cobalt Strike по SHA-1, сохранённому в Amcache.hve.

  2. 02

    Построение списка всех бинарей, когда-либо находившихся в C:\Users\Public\, для триажа.

● Частые вопросы

Что такое Amcache.hve?

Куст реестра Windows, фиксирующий подробные метаданные (включая SHA-1) о каждом исполняемом файле, который запускался или присутствовал в системе; в современных Windows — веское доказательство запуска. Относится к категории Криминалистика и реагирование в кибербезопасности.

Что означает Amcache.hve?

Куст реестра Windows, фиксирующий подробные метаданные (включая SHA-1) о каждом исполняемом файле, который запускался или присутствовал в системе; в современных Windows — веское доказательство запуска.

Как работает Amcache.hve?

Amcache.hve расположен в C:\Windows\AppCompat\Programs\ и заполняется службой Application Experience. Он хранит подробные метаданные об исполняемых файлах, драйверах и установленных программах: полный путь, размер, время компиляции PE, время последнего изменения, издателя и SHA-1 первых 31 МБ файла. Начиная с Windows 8 Amcache фактически вытеснил Shimcache как основной артефакт исполнения, поскольку фиксирует и образцы, которые были лишь просканированы, а не обязательно запущены. Криминалисты применяют AmcacheParser (Эрик Циммерман) для извлечения записей InventoryApplicationFile и сверяют хеши с threat intelligence, чтобы выявить давно удалённое ВПО.

Как защититься от Amcache.hve?

Защита от Amcache.hve обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Amcache.hve?

Распространённые альтернативные названия: Amcache, AppCompat Amcache.

● Связанные термины

● См. также