AmCache-EvilHunter

AmCache-EvilHunter es una herramienta de línea de comandos para analizar y examinar los archivos de registro Amcache.hve de Windows, identificar evidencia de ejecución, ejecutables sospechosos e integrar consultas a VirusTotal/OpenTIP para mejorar la inteligencia de amenazas.

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

Características

• Analizar archivos de registro Amcache.hve sin conexión.
• Filtrar registros por rango de fechas (--start, --end).
• Buscar registros usando palabras clave (--search).
• Identificar ejecutables sospechosos conocidos (--find-suspicious).
• Identificar ejecutables sin editor (--missing-publisher).
• Integración con Kaspersky OpenTIP para búsquedas de hash (--opentip, --only-detections).
• Integración con VirusTotal para búsquedas de hash (--vt, --only-detections).
• Exportar resultados a JSON (--json) o CSV (--csv).

Requisitos

• Python 3.7 o superior
• requests
• python-registry
• rich

Instalar dependencias mediante pip:

pip3 install -r requirements.txt

Instalación

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

Uso

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

Opciones

Flag	Descripción
-i, --input PATH	Ruta a Amcache.hve (obligatorio)
--start YYYY-MM-DD	Incluir solo registros en esta fecha o posteriores
--end YYYY-MM-DD	Incluir solo registros en esta fecha o anteriores
--search TERMS	Términos de búsqueda separados por comas, sin distinción de mayúsculas
--find-suspicious	Filtrar solo registros que coincidan con patrones sospechosos conocidos
--missing-publisher	Filtrar solo registros con Publisher ausente
--exclude-os	Incluir solo archivos que no sean componentes del sistema operativo
--opentip	Habilitar búsquedas en Kaspersky OpenTIP (requiere la variable de entorno OPENTIP_API_KEY)
-v, --vt	Habilitar búsquedas en VirusTotal (requiere la variable de entorno VT_API_KEY)
--only-detections	Mostrar/guardar solo archivos con ≥1 detección de VT
--json PATH	Ruta para escribir la salida JSON completa
--csv PATH	Ruta para escribir la salida CSV completa
-V, --version	Mostrar información de versión

Ejemplos

• Analizar y mostrar todos los registros:

  python3 amcache_evilhunter.py -i Amcache.hve
  

• Filtrar por rango de fechas y buscar "notepad":

  python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad
  

• Identificar ejecutables sospechosos y consultar VirusTotal:

  python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
  

• Exportar detecciones de VirusTotal a JSON:

  export VT_API_KEY=YOUR_API_KEY
  python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json
  

Variables de entorno

• VT_API_KEY: Tu clave de API de VirusTotal usada para búsquedas de hash de archivos.
• OPENTIP_API_KEY: Tu clave de API de OpenTIP usada para búsquedas de hash de archivos.

Compilación de ejecutables

Se proporciona un script build.sh para generar binarios independientes tanto para Linux como para Windows (mediante Wine).

chmod +x build.sh
./build.sh

Cómo citar este trabajo

AmCache-EvilHunter fue presentado en el XXVI Simposio Brasileño de Ciberseguridad (SBSeg 2026).

@inproceedings{souza2026amcache,
  author = {Cristian Souza and Eduardo Chavarro and Daniel Batista},
  title = {AmCache-EvilHunter: Automating Evidence of Execution Extraction from the Amcache.hve Artifact},
  booktitle = {Anais Estendidos do XXVI Simpósio Brasileiro de Cibersegurança},
  location = {Armação dos Búzios/RJ},
  year = {2026},
  pages = {100--108},
  publisher = {SBC},
  address = {Porto Alegre, RS, Brasil},
  doi = {10.5753/sbseg_estendido.2026.33555},
  url = {https://sol.sbc.org.br/index.php/sbseg_estendido/article/view/44456}
}

Licencia

Este proyecto está licenciado bajo la Licencia MIT. Consulta LICENSE para más detalles.