AppCompatCacheParser

레지스트리 하이브 분석

SYSTEM 레지스트리 하이브 파일에서 AppCompatCache 데이터를 읽어들여 실행 이력을 추출합니다. 라이브 레지스트리 또는 오프라인 hive 파일 모두를 지원하며, 옵션을 통해 특정 ControlSet만을 지정하여 분석할 수 있습니다.

CSV 출력 지원

분석 결과를 CSV 형식으로 저장할 수 있으며, 출력 디렉토리와 파일 이름을 사용자 지정할 수 있습니다. 기본적으로 타임스탬프는 내림차순으로 정렬되며, 사용자 정의 날짜/시간 형식도 적용 가능합니다.

잠긴 파일 처리

잠긴 상태의 레지스트리 hive 파일도 처리할 수 있도록 설계되어 있으며, 트랜잭션 로그를 무시하는 옵션을 제공하여 오염된 hive에서도 안정적인 분석이 가능합니다.

다운로드 및 설치 방법

공식 홈페이지()에서 Eric Zimmerman의 모든 도구를 포함한 ZIP 패키지를 다운로드할 수 있습니다. 다운로드 후 압축을 해제하면 AppCompatCacheParser.exe 파일을 바로 실행할 수 있으며, 별도의 설치 과정은 필요하지 않습니다. Chocolatey를 통해서도 설치할 수 있으나, 본 증거에서는 구체적인 설치 명령어는 제공되지 않습니다.

기본 사용법

명령줄 인터페이스를 통해 다음과 같은 옵션을 사용하여 실행할 수 있습니다:

• -c 또는 --controlset: 분석할 ControlSet 지정 (기본값: 모든 ControlSet)
• -f 또는 --file: 처리할 SYSTEM hive 파일의 전체 경로 지정 (미지정 시 라이브 레지스트리 사용)
• -t 또는 --timestampsort: 마지막 수정 시간을 기준으로 내림차순 정렬
• --csv: CSV 결과를 저장할 디렉토리 지정 (필수)
• --csvf: 저장할 CSV 파일 이름 지정 (미지정 시 기본 이름 사용)
• --debug: 디버그 모드 활성화
• --nl: 더티 hive에서 트랜잭션 로그 파일 무시 (기본값: FALSE)
• --dt: 타임스탬프 표시 형식 지정 (기본값: yyyy-MM-dd HH:mm:ss)

사용 예시:

• AppCompatCacheParser.exe --csv c:temp -t -c 2
• AppCompatCacheParser.exe --csv c:temp --csvf results.csv

단축 옵션은 단일 대시(-)로, 장축 옵션은 이중 대시(–)로 prefix됩니다.

지원 환경 및 시스템 요구사항

이 도구는 Windows 7 (32비트 및 64비트), Windows 8.x, Windows 10, Windows 11에서 실행할 수 있습니다. .NET 프레임워크 4.7.2 이상 또는 .NET 9 이상이 설치되어 있어야 하며, GUI 도구의 경우 .NET 9만 지원합니다. 관리자 권한으로 실행하는 것을 권장하며, ‘C:Program Files’ 디렉토리에서 직접 실행하는 것은 DLL 차단 문제로 인해 피해야 합니다.

최신 버전 및 업데이트

현재 버전은 2026.5.0이며, 최신 변경 사항과 업데이트 내역은 공식 GitHub 저장소의 README 파일 및 changelog를 통해 확인할 수 있습니다. Eric Zimmerman의 도구들은 정기적으로 업데이트되며, Get-ZimmermanTools 스크립트를 사용하여 전체 도구 세트를 자동으로 발견하고 최신 상태로 유지할 수 있습니다.

제한 사항 및 확인 사항

이 도구를 ‘C:Program Files’ 디렉토리에서 직접 실행해서는 안 되며, 관리자 권한으로 실행하지 않을 경우 오류가 발생할 수 있습니다. Windows 내부에서는 DLL 차단으로 인해 정상적으로 작동하지 않을 수 있으므로, 7-Zip 또는 WinRAR과 같은 도구를 사용하여 압축 해제 후 실행해야 합니다. .NET 4.7.2 또는 .NET 9 미설치 시 오류가 발생하므로, 사전에 해당 런타임을 설치해야 합니다. 모든 도구는 디지털 서명이 적용되어 있으며, 서명을 확인한 후에는 백신 프로그램의 오탐지로 간주할 수 있습니다.