de

Windows-AppCompatCache-Forensik

Analysieren Sie den Windows-Shimcache im Browser.

Ziehen Sie eine SYSTEM-Registry-Hive in das Feld und extrahieren Sie sofort jeden AppCompatCache-Eintrag — Dateipfad, Änderungszeitstempel und Format — ohne die Datei jemals hochzuladen.

  • Kein Upload
  • Parser in Rust + WebAssembly
  • Windows XP bis 11

SYSTEM-Hive hier ablegen

oder klicken zum Auswählen

Nimmt auch eine ZIP-Triage-Sammlung (KAPE, Velociraptor…) oder einen ganzen Ordner an

Synthetischer SYSTEM-Hive eines fiktiven Einbruchs — keine echten Daten.

So kommen Sie an Ihre Daten

Noch nie einen SYSTEM-Hive gesichert? Nehmen Sie die erste passende Methode: ein Befehl, dann die Datei hier ablegen.

  1. SYSTEM-Hive sichern
  2. Datei, Ordner oder ZIP hier ablegen
  3. Auswertung im Browser — nichts wird hochgeladen

Als Administrator ausführen (Rechtsklick auf Eingabeaufforderung oder PowerShell → Als Administrator ausführen). In Windows enthalten — keine Installation nötig.

Eingabeaufforderung (Admin)
mkdir C:\triage 2>nul & reg save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y
PowerShell (Admin)
New-Item -ItemType Directory -Force -Path C:\triage | Out-Null; reg.exe save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y

Erzeugt C:\triage\SYSTEM.hiv — genau diese Datei ablegen. reg save schreibt eine saubere, konsistente Kopie des aktiven Hives, Transaktionslogs sind daher nicht nötig.

Stolperfallen

  • Die aktive SYSTEM-Datei ist gesperrt: Ein einfaches copy schlägt fehl, und manche Tools erzeugen stillschweigend eine mit Nullen gefüllte Datei. reg save oder ein Rohkopie-Tool verwenden.
  • Hier werden keine Logs eingespielt: Einer Rohkopie eines aktiven Hives können jüngste Schreibvorgänge fehlen. Zuerst SYSTEM.LOG1 / SYSTEM.LOG2 einspielen oder reg save nutzen.
  • Windows schreibt den Cache nur beim Herunterfahren oder Neustart in die Registry: Ausführungen seit dem letzten Start gibt es nur im Arbeitsspeicher (RAM sichern, z. B. Volatility windows.shimcachemem).
Vollständige Anleitung zur Sicherung →

Alles läuft lokal. Ihre Hive verlässt diese Seite nie.

Was Sie bekommen

Alles aus dem ShimCache, ohne schweres Tooling

  • Jedes ControlSet

    ControlSet001, 002 und weitere werden geparst und markiert, das aktive Set gekennzeichnet – Einträge, die nur im Backup-Set überleben, gehen nicht verloren.

  • Windows XP bis 11

    Cache-Formate von XP, Server 2003, Vista/7 (x86 und x64), 8, 8.1, 10 und 11 werden automatisch erkannt.

  • Verdachts-Triage

    Bekannte Angreifer-Tools sowie benutzerbeschreibbare oder Staging-Pfade werden markiert, damit die wichtigen Zeilen zuerst auffallen.

  • CSV- und JSON-Export

    Die gefilterte Ansicht wandert in Timeline, Tabelle oder SIEM – mit ControlSet und Format in jeder Zeile.

  • Triage-Sammlungen

    Legen Sie ein KAPE- oder Velociraptor-ZIP oder einen ganzen Ordner ab: SYSTEM-Hive und RegBack-Kopie werden gefunden, alles andere wird erklärt. Transaktionslogs werden gemeldet, nicht eingespielt.

  • Privat by Design

    Der Rust-Parser läuft als WebAssembly in Ihrem Browser-Tab. Nichts wird hochgeladen, protokolliert oder auf einem Server gespeichert.

So funktioniert es

Vom Hive zur Timeline in drei Schritten

  1. 01

    SYSTEM-Hive sichern

    C:\Windows\System32\config\SYSTEM mit KAPE, FTK Imager oder reg save kopieren – oder aus einem gemounteten Image holen.

  2. 02

    Hier ablegen

    Die Datei wird lokal gelesen und per WebAssembly in einem Worker geparst, meist in deutlich unter einer Sekunde.

  3. 03

    Sichten und exportieren

    Sortieren, filtern, markierte Pfade prüfen und anschließend CSV oder JSON für die Fallakte exportieren.

Verwandte Tools

Artefakte, die die nächste Frage im selben Fall beantworten.

FAQ

Shimcache-Forensik — häufig gestellte Fragen

Schnelle Antworten auf die Fragen, die Forensiker bei der Analyse des Windows-AppCompatCache am häufigsten stellen.

Was ist der Windows-ShimCache (AppCompatCache)?
Der ShimCache, auch AppCompatCache genannt, ist eine Windows-Funktion, die ausführbare Dateien protokolliert, die das Betriebssystem für die Anwendungskompatibilität (Shimming) untersucht hat. Er speichert bis zu 1 024 Einträge pro System, inklusive Dateipfad und Änderungszeitstempel. Forensiker nutzen ihn als Beweis dafür, dass eine Binärdatei auf einem Rechner existiert hat — auch nachdem die Datei gelöscht wurde.
Belegt ein ShimCache-Eintrag, dass ein Programm ausgeführt wurde?
Nein. Der ShimCache erfasst Dateien, die Windows untersucht hat — das impliziert oft, aber nicht zwingend, eine Ausführung. Unter Windows 10 und 11 wurde das Ausführungs-Flag im Cache entfernt; ergänzende Artefakte (Prefetch, AmCache, Security- oder Sysmon-Ereignisprotokolle) sind nötig, um eine tatsächliche Ausführung zu belegen.
Warum stimmt der ShimCache-Zeitstempel nicht mit der Ausführungszeit überein?
Der angezeigte Zeitstempel ist die letzte Änderungszeit der Datei ($STANDARD_INFORMATION), nicht der Ausführungszeitpunkt. Eine kopierte Binärdatei behält ihr ursprüngliches mtime. Behandeln Sie den ShimCache als Artefakt für „Existenz eines Programms“, nicht als Ausführungs-Timeline.
Können ShimCache-Einträge gelöscht oder manipuliert werden?
Ja. Der ShimCache liegt im Arbeitsspeicher und wird erst beim Herunterfahren in die SYSTEM-Hive geschrieben — ein harter Neustart kann jüngste Einträge verlieren. Anti-Forensik-Werkzeuge und Registry-Bearbeitung können ihn ebenfalls leeren oder verändern. Bestätigen Sie Funde stets durch AmCache, Prefetch und Ereignisprotokolle.
Was ist der Unterschied zwischen ShimCache und AmCache?
Der ShimCache liegt unter HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache und speichert bis zu 1 024 Einträge mit Pfad + mtime. AmCache (Amcache.hve) ist eine eigene Datenbank, die installierte Programme und kürzlich ausgeführte Dateien mit SHA-1-Hashes und deutlich umfangreicheren Metadaten erfasst. Beide Artefakte ergänzen sich in forensischen Timelines.

Einen SYSTEM-Hive zur Hand?

Legen Sie ihn ab und sehen Sie jede von Windows notierte ausführbare Datei – in Sekunden, ohne dass die Datei Ihren Rechner verlässt.