Pengantar
Dalam investigasi digital forensics, sistem Windows menyimpan berbagai artifact yang dapat membantu investigator memahami aktivitas pada sebuah komputer. Salah satu artifact yang menarik adalah Amcache.hve.
Amcache.hve merupakan registry hive yang menyimpan berbagai informasi mengenai aplikasi, file executable, driver, dan komponen lainnya yang ditemukan atau diinventarisasi oleh Windows. Karena itu, artifact ini dapat membantu investigator menemukan jejak program yang pernah terdapat pada sebuah sistem.
Namun, Amcache tidak boleh langsung dianggap sebagai bukti bahwa sebuah program pasti telah dieksekusi. Microsoft Incident Response menekankan bahwa Amcache lebih tepat dipahami sebagai evidence of presence atau evidence of existence, bukan bukti eksekusi secara langsung (dikutip dari: Microsoft Security – Leveraging Windows Internals for Forensic Investigation).
Apa Itu Amcache.hve?
Amcache.hve adalah registry hive Windows yang digunakan oleh mekanisme Application Compatibility untuk menyimpan informasi terkait aplikasi dan file yang ditemukan pada sistem.
Pada Windows modern, file ini umumnya berada di:
C:\Windows\AppCompat\Programs\Amcache.hve
Selain file utama, investigator juga perlu memperhatikan file log yang berkaitan dengan hive, seperti Amcache.hve.LOG1 dan Amcache.hve.LOG2.
Informasi yang dapat ditemukan antara lain nama file, path, publisher, informasi versi, ukuran file, serta hash tertentu. Microsoft juga mencatat bahwa Amcache dapat menyimpan informasi terkait aplikasi, driver, dan file executable pada sistem Windows modern.
baca juga : Encrypted Client Hello (ECH): Teknologi Baru untuk Menyembunyikan SNI dan Meningkatkan Privasi TLS
Mengapa Amcache Penting dalam Forensik?
Amcache dapat membantu menjawab beberapa pertanyaan dalam investigasi, seperti:
- Apakah sebuah executable pernah terdapat pada komputer?
- Di mana lokasi file tersebut?
- Apa nama dan metadata file?
- Berapa ukuran file tersebut?
- Apakah tersedia hash yang dapat digunakan untuk pencarian threat intelligence?
- Apakah terdapat informasi mengenai aplikasi atau driver tertentu?
Informasi tersebut dapat menjadi titik awal untuk melakukan timeline analysis, malware hunting, dan IOC investigation.
Artifact Penting dalam Amcache
Struktur Amcache dapat berubah mengikuti versi Windows. Namun, beberapa kategori yang sering menjadi perhatian investigator adalah InventoryApplication, InventoryApplicationFile, InventoryDriverBinary, dan InventoryApplicationShortcut.
InventoryApplication
Bagian ini dapat memberikan informasi mengenai aplikasi yang diinventarisasi pada sistem.
Data tersebut berguna untuk mengetahui software yang terdeteksi oleh Windows, termasuk informasi tertentu mengenai aplikasi dan waktu inventarisasinya.
InventoryApplicationFile
Bagian ini menjadi salah satu area penting dalam investigasi file.
Investigator dapat menemukan informasi seperti nama file, lokasi file, metadata, dan identifier/hash tertentu. Data tersebut kemudian dapat dibandingkan dengan artifact lain untuk memperkuat analisis.
InventoryDriverBinary
Kategori ini berkaitan dengan binary driver yang diinventarisasi.
Dalam investigasi keamanan, informasi tersebut dapat membantu investigator mencari driver yang mencurigakan, terutama ketika kasus berkaitan dengan aktivitas pada level sistem.
Amcache dan Bukti Eksekusi
Salah satu kesalahan paling umum adalah menganggap setiap file yang muncul di Amcache pasti telah dijalankan.
Padahal, keberadaan file dalam Amcache tidak selalu membuktikan bahwa file tersebut dieksekusi. File dapat muncul karena proses inventarisasi, instalasi aplikasi, atau aktivitas sistem lainnya.
Karena itu, Amcache sebaiknya dikorelasikan dengan artifact lain seperti Prefetch, Windows Event Logs, Sysmon, UserAssist, dan Shimcache.
Pendekatan korelasi tersebut membuat kesimpulan forensik menjadi lebih kuat dibandingkan hanya mengandalkan satu artifact.
Hash dalam Amcache
Salah satu informasi yang menarik dari Amcache adalah hash file.
Hash dapat digunakan sebagai pivot untuk mencari apakah sebuah file memiliki reputasi atau indikator kompromi yang sudah diketahui. Investigator juga dapat membandingkan hash tersebut dengan file yang ditemukan pada endpoint lain.
Namun, terdapat keterbatasan penting. Microsoft menjelaskan bahwa hash yang disimpan Amcache untuk file berukuran besar dihitung berdasarkan bagian awal file, bukan keseluruhan file. Karena itu, hash Amcache tidak boleh selalu dianggap sama dengan SHA-1 dari seluruh file.
baca juga : Service Mesh Mutual TLS (mTLS): Cara Mengamankan Komunikasi Antar-Microservices
Bagaimana Amcache Dianalisis?
Investigator biasanya tidak membaca registry hive secara manual. Tool forensik dapat digunakan untuk mengekstrak dan mengubah data Amcache menjadi format yang lebih mudah dianalisis.
Salah satu tool yang populer adalah AmcacheParser dari Eric Zimmerman. Tool tersebut dapat membaca Amcache.hve dan menghasilkan data yang dapat digunakan untuk proses filtering, timeline analysis, maupun korelasi dengan artifact lainnya.
Secara umum, proses investigasi dapat dilakukan dengan tahapan berikut:
- Mengakuisisi Amcache.hve dari sistem atau forensic image.
- Menjaga integritas evidence dengan melakukan hashing dan dokumentasi chain of custody.
- Melakukan parsing menggunakan tool forensik.
- Memfilter entry yang relevan, seperti executable atau driver mencurigakan.
- Melakukan analisis hash dan metadata.
- Mengkorelasikan hasil dengan artifact Windows lainnya.
- Membangun timeline aktivitas berdasarkan seluruh bukti yang tersedia.
Dengan pendekatan tersebut, Amcache menjadi bagian dari proses investigasi yang lebih luas, bukan satu-satunya sumber kesimpulan.
Kelebihan Amcache dalam Digital Forensics
Amcache memiliki beberapa nilai penting bagi investigator.
1. Menyimpan Metadata File
Path, nama file, publisher, ukuran, dan informasi lainnya dapat membantu mengidentifikasi file yang pernah ditemukan pada sistem.
2. Membantu Investigasi Malware
Hash dan metadata file dapat digunakan sebagai titik awal untuk melakukan threat hunting dan pencarian IOC.
3. Berguna Saat File Sudah Dihapus
Dalam kondisi tertentu, entry Amcache masih dapat memberikan informasi mengenai file yang sebelumnya terdapat pada sistem meskipun file aslinya sudah tidak tersedia.
4. Membantu Timeline Analysis
Informasi waktu pada entry tertentu dapat digunakan sebagai salah satu sumber untuk melakukan korelasi timeline.
Keterbatasan Amcache.hve
Amcache merupakan artifact yang berguna, tetapi tetap memiliki keterbatasan.
Pertama, Amcache bukan execution log. Keberadaan sebuah file tidak otomatis berarti file tersebut pernah dijalankan.
Kedua, struktur dan informasi yang tersedia dapat berbeda berdasarkan versi Windows dan mekanisme yang digunakan untuk mengisi hive.
Ketiga, timestamp harus diinterpretasikan dengan hati-hati. Investigator perlu mengetahui apa yang sebenarnya direpresentasikan oleh setiap timestamp sebelum menggunakannya untuk menentukan urutan kejadian.
Keempat, hash tertentu memiliki keterbatasan, terutama pada file berukuran besar. Karena itu, hasil analisis harus selalu dikombinasikan dengan evidence lain.
Amcache vs Prefetch
Amcache dan Prefetch sering digunakan dalam investigasi Windows, tetapi keduanya menjawab pertanyaan yang berbeda.
| Artifact | Nilai Forensik |
|---|---|
| Amcache.hve | Menunjukkan keberadaan atau inventarisasi file dan metadata terkait |
| Prefetch | Membantu menganalisis aktivitas eksekusi aplikasi |
| Event Log | Menyediakan berbagai catatan aktivitas sistem |
| Sysmon | Dapat memberikan telemetry proses dan aktivitas lainnya |
Karena itu, investigator sebaiknya tidak memilih hanya satu artifact. Korelasi antar-artifact memberikan konteks yang jauh lebih kuat dalam sebuah investigasi.
baca juga : Cache Poisoning via Unkeyed Inputs: Celah Cache yang Bisa Menyebarkan Serangan ke Banyak Pengguna
Kesimpulan
Amcache.hve Forensics merupakan bagian penting dalam investigasi Windows karena dapat menyediakan informasi mengenai aplikasi, executable, driver, path, metadata, dan hash yang berkaitan dengan sistem.
Artifact ini sangat berguna untuk malware investigation, timeline analysis, threat hunting, dan IOC discovery. Namun, Amcache tidak boleh digunakan sebagai satu-satunya bukti bahwa sebuah program telah dieksekusi.
Dengan menggabungkan Amcache dengan Prefetch, Event Logs, Sysmon, Shimcache, dan artifact lainnya, investigator dapat membangun gambaran aktivitas yang lebih akurat.
Pada akhirnya, nilai terbesar Amcache bukan hanya pada data yang disimpannya, tetapi pada kemampuan investigator untuk menghubungkan data tersebut dengan evidence lain dan menghasilkan kesimpulan forensik yang dapat dipertanggungjawabkan.
