Amcache.hve Analizi
Windows işletim sistemleri arasında farklı dağıtımlar
bulunmaktadır, farklı dağıtımlar olmasından kaynaklı dezavantaj doğmuştur.
Örnek vermek gerekirse bir program her Windows dağıtımı ile uyumlu olamamasıdır.
Microsoft tarafından bu dezavantajı ortadan kaldırmak adına Amcache.hve dosyasını oluşturmuştur. Bu
dosya sayesinde Windows’un farklı dağıtımları arasında program uyumluluğunu
sağlayabilmektedir. Windows sistem dosyası olan Amcache.hve dosyaları genel yapısı,
registry (kayıt defteri) hive dosyasıdır. Registry dosya biçimine benzer bir
tree yapıdadır.
Windows sisteme yüklenen bir program (execution) hakkında,
programın çalışma yolu, SHA1 hash değeri, program yükleme/silinme zaman
damgaları gibi çeşitli bilgileri içerisine kaydetmektedir. Ve bir diğer
mükemmel özelliği ise sistem üzerinde silinen programların kayıtları
amcache.hve dosyasında silinmemesidir. Yani kısaca bir Forensics bakış açısı ile Amcache.hve dosyası bizler için mükemmel
bir artifact kaynağı sunmakta ve tutmuş olduğu SHA1 hash değeri ile CTI
kaynaklarından tarama yapmamızı kolaylaştırmaktadır.
Amcache.hve dosyası “%SystemDrive%\Windows\AppCompat\Programs\Amcache.hve”
konumunda bulunur.
Amcache.hve Nasıl
Analiz Edilir?
Amcache.hve dosyasını analiz etmeden önce bu dosyayı elde
etmemiz gerekmektedir. Amcache.hve dosyası sistem dosyası olduğundan Windows
tarafından kopyalanması, silinmesine izin vermemektedir. Bu dosyasının bir
kopyasını almak için Raw Copy, KAPE, FTK gibi toollar kullanarak elde
edilebilir.
FTK ile export almak için Add Evidence Item dedikten
sonra, Amcache.hve dosyasın bulunduğu konuma gidip ilgili dosyaları export
alabiliriz.
Amcache.hve dosyasını hedef sistemden elde ettikten sonra
amcacheparser.exe, regripper gibi farklı toollar ile analiz işlemleri
gerçekleştirilebilir. Benim favori toollarım arasında olan AmcacheParser.exe üzerinden analizi gerçekleştireceğim.
AmcacheParse.exe Eric Zimmerman tarafından oluşturulan
ücretsiz bir toldur Githubtan kolaylıkla indirip kullanabilirsiniz.
İlk olarak cmd.exe administrator olarak çalıştırmamız
gerekmektedir. Daha sonra ilgili dizini gittikten sonra AmcacheParser.exe yazıp
çalıştıralım.
Ekran görüntüsünde görüldüğü tool’un parametreleri ile
ilgili bilgiler tool hakkında bilgileri görebiliyoruz.
Amcache.hve dosyasını parse etmesi için;
AmcacheParser.exe -f
"E:\Belgeler\Desktop\Amcache\C\Windows\AppCompat\Programs\Amcache.hve"
--csv
"E:\Belgeler\Desktop\Amcache\C\Windows\AppCompat\Programs\out.csv"
-f : Amcache.hve dosyasını bulunduğu konum
--csv : parse işlemini gerçekleştirilirken nereye parse
edilmesi isteniyorsa konumu
Komutumuzu çalıştırdıktan sonra görüldüğü gibi başarılı
bir şekilde parse işlemi tamamlanmıştır.
Parse işlemi başarılı bir şekilde gerçekleştikten sonra
genelde altı csv dosyası oluşmaktadır.
Oluşan excel dosyaları analiz edilerek zaman filtresi yardımıyla zararlı,
şüpheli bir durum var olup olmadığı böylelikle tespit edilebilir.
XXXXXXX_Amcache_DeviceContainers.csv dosasında; sisteme
bağlı cihazlar hakkında bilgi içerir. AmCache’te bulunan Device Containers
Artifactleri bulunur. Artifackt içinde bulunan bilgiler;
- Key - The registry key name.
- Model ID - Model ID of the device.
- Model Name - The model name for the device.
- Friendly Name - A display name for the device.
- Model Number - The model number of the device.
- Is Connected - Whether the device is connected.
- Icon - The path to the icon for the device.
- Manufacturer - Device manufacturer.
- Primary Category - Primary category.
- Categories - The category of the device.
- Is Active - Whether the device is active.
- Is Paired - Whether the device is paired.
- Is Networked - Whether the device is networked.
- State - Device state.
- Is Machine Container - Whether the device is a machine container.
- Discovery Method - Discovery method.
- Last Update Date/Time - Registry key last update date/time.
XXXXXXXX_Amcache_ShortCuts.csv dosyasında Amcache’te
bulunan, sistemde kullanılan programlar ve dosya kısayolları (shortcuts)
hakkında bilgi içerir. Artifact içinde bulunan bilgiler;
·
Key - The registry key name.
·
Shortcut Path - The path to the shortcut.
·
Last Update Date/Time - Registry key last update date/time.
XXXXXXXX_Amcache_DevicePnps.csv dosyasında, sisteme bağlı
tak ve çalıştır cihazları hakkında bilgi içerir. Artifact içerisinde bulunan
bilgiler;
·
Driver ID - The ID of the driver.
·
Driver Name - The name of the driver.
·
Description - The description of the device.
·
Driver Version - The driver version.
·
Class - The class of the device.
·
Class GUID - The GUID of the device class.
·
Model - The device model.
·
Manufacturer - The device manufacturer.
·
Device State - Device state.
·
Inf - Inf extension file.
·
Driver Version Date - Driver version date.
·
Install Date - Install date.
·
First Install Date - First install date.
·
Service - Service.
·
Container ID - ID of the device container.
·
Problem Code - Problem code.
·
Provider - The device provider.
·
COMPID - COMPID.
·
Stack ID - Stack ID.
·
Hardware ID - Hardware ID of the device.
·
Parent ID - Parent ID.
·
Matching ID - Matching ID.
·
Enumerator - Enumerator.
·
Install State - Install state.
·
Driver Packages Strong Name - Driver packages strong name.
·
Bus Reported Description – Bus reported description.
·
Key Last Update Date/Time - Registry key last update date/time.
XXXXXXXXXX_Amcache_DriverPackages.csv dosyasında,
sistemdeki driver paketleri hakkında bilgi içerir. Artifackt içerisinde bulunan
bilgiler;
·
Key - The registry key name.
·
Class GUID – Driver package class GUID.
·
Class - Name of the class.
·
Directory - Driver location.
·
Date - The date of the driver package.
·
Version - Driver version.
·
Provider - Driver provider.
·
Submission ID - Submission ID.
·
Driver in Box - Whether driver is in box.
·
INF - Inf extension file.
·
Is Active - Whether driver is active.
·
Hardware IDs – List hardware IDs associated with the package.
·
SYSFILE - SYSFILE.
·
Key Last Update Date/Time - Registry key last update date/time.
XXXXXXXXX_Amcache_DriveBinaries.csv dosyasında,
sistemdeki driver binary dosyalarında ne zaman imzalandıkları ve bunlarla
ilişkili hizmetler hakkında bilgiler içerir. Artifackt içerisinde
bulunanbilgiler;
·
Driver ID – The ID of the driver.
·
Driver Name - The name of the driver.
·
Driver Path - The path where the driver is located.
·
Driver Version - The driver version.
·
Service - The service associated with the driver.
·
Image Size - Driver file size.
·
Driver Last Write Date/Time – The date and time when the driver was last
written to.
·
Driver Type - Driver type.
·
Driver Timestamp - Driver timestamp.
·
Driver Checksum - The checksum of the driver.
·
Product Name - The product that the driver is associated with.
·
Product Version - Product version of the driver.
·
Inf - The Inf file name.
·
Driver Company - The company that produces the driver.
·
WDF Version - WDF Version.
·
Driver Package Strong Name - Driver package strong name.
·
Driver in Box - Driver in box.
·
Driver Signed - Whether the driver is signed.
·
Driver Is Kernel Mode - Whether the driver operates in kernel mode.
·
Key Last Update Date/Time - Registry key last update date/time.
XXXXXXX_Amcache_UnassociatedFileEntries.csv, Sisteme bir
zararlı bulaşması halinde genellikle bakılan dosyadır, İlişkilendirilmemiş
dosya girişleri olarak bilinir, çalıştırılabilir programlar tarafından
kullanılan dosyalar ve sistemde çalıştırılan programlar hakkında bilgi içerir.
Kaynak:
[1]https://www.ssi.gouv.fr/uploads/2019/01/anssi-coriin_2019-analysis_amcache.pdf
