12章

Appendix

実行履歴解析用ツール

• Eric Zimmerman's Tools
  • https://ericzimmerman.github.io/#!index.md
    • PECmd（プリフェッチファイルのパース）
    • AppCompatCacheParser（Shimcacheのパース）
    • RegistryExplorer（各種レジストリビューワ）
• WinPrefetchView　（GUI版プリフェッチ解析ツール）
  • https://www.nirsoft.net/utils/win_prefetch_view.html
• UserAssistView　（GUI版UserAssist解析ツール）
  • https://www.nirsoft.net/utils/userassist_view.html

実行履歴解析に関する記事など

• A Prescription for Windows Prefetch Analysis
  • https://www.sans.org/blog/a-prescription-for-windows-prefetch-analysis/
• (Am)cache still rules everything around me (part 2 of 1)
  • https://binaryforay.blogspot.com/2017/10/amcache-still-rules-everything-around.html
• Amcache on Windows 7
  • https://www.swiftforensics.com/2016/05/amcache-on-windows-7.html
• Amcache.hve in Windows 8 - Goldmine for malware hunters
  • http://www.swiftforensics.com/2013/12/amcachehve-in-windows-8-goldmine-for.html
• Forensic analysis of the Windows UserAssist artifact
  • https://www.magnetforensics.com/blog/artifact-profile-userassist/