Shimcache- & Windows-Forensik-Blog

Das Binärlayout des AppCompatCache hat sich bei fast jedem Windows-Release geändert. Das ist eine versionsweise Referenz für die älteren Formate: XP, Server 2003, Vista/2008, Windows 7 und 8, sowie die Magic-Werte, die sie identifizieren.

Ja, und genau deshalb zählt er. Der ShimCache behält routinemäßig Einträge für ausführbare Dateien, die nicht mehr auf der Festplatte existieren. Hier ist warum, wie lange sie überleben und wie man Einträge gelöschter Dateien als Beweis nutzt.

Remote-Execution-Tooling hinterlässt einen erkennbaren ShimCache-Fußabdruck auf Quell- und Zielhosts. Das ist ein praktischer Leitfaden, um mit dem AppCompatCache Lateral Movement über einen Windows-Bestand zu rekonstruieren.

Der Zeitstempel in einem ShimCache-Eintrag ist die Last-Modified-Zeit der Datei, nicht, wann das Programm lief. Hier ist genau, was der Wert ist, warum er Ermittler in die Irre führt und wie man ihn korrekt nutzt.

Prefetch zeichnet die Ausführung auf; ShimCache zeichnet auf, dass Windows eine Datei untersucht hat. Sie beantworten unterschiedliche Fragen mit unterschiedlicher Verlässlichkeit. Ein praktisches Duell für Ermittler.

Der ShimCache lässt sich manipulieren, selten aber sauber. Dieser Beitrag katalogisiert, wie Angreifer ShimCache-Einträge zu löschen oder zu verändern versuchen und welche forensischen Spuren Ermittler dafür nutzen können.

Weil der Windows-ShimCache nur beim Shutdown in die Registry geleert wird, hält ein Speicherabbild oft Einträge bereit, die der On-Disk-Hive nicht hat. Dieser Leitfaden deckt die Extraktion mit Volatility und Velociraptor ab.

Eine Timeline, die ShimCache, AmCache, Prefetch und die BAM-Daten aus dem SYSTEM-Hive verschmilzt, ist das Rückgrat der meisten Windows-IR-Berichte. Dieser Leitfaden geht durch den Aufbau von Anfang bis Ende.

Ein praktischer Workflow, um mit dem Windows-ShimCache verdächtige Binärdateien im Threat Hunting und in der Incident-Response sichtbar zu machen: worauf zu achten ist, wie man Treffer triagiert und wie man sie belegt.

Ransomware-Akteure löschen routinemäßig ihre Tools, verschlüsseln und wischen und starten neu, um Spuren zu verwischen. Der ShimCache ist eines der wenigen Artefakte, das danach noch grundlegende Fragen beantwortet. So setzt du ihn ein.

Ein praktischer Leitfaden zum Extrahieren des Windows-SYSTEM-Registry-Hives (und seiner Transaktionsprotokolle) für die forensische Offline-Analyse: von einer toten Platte, einem laufenden System oder einem Speicherabbild.

Vier offene Tools dominieren das Offline-Parsen des ShimCache, jedes mit eigenen Stärken. Ein praktischer Vergleich, um das richtige für deinen Workflow auszuwählen.

Eine direkte Gegenüberstellung der fünf nützlichsten Windows-Artefakte zum Nachweis einer Programmausführung: Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM, mit Verlässlichkeit und Einschränkungen.

Ein ShimCache-Eintrag wird regelmäßig als Beweis dafür missverstanden, dass eine Binärdatei lief. Die Wahrheit ist nuancierter. Hier steht, was der Cache tatsächlich aufzeichnet und wie man eine Ausführung korrekt bestätigt.

ShimCache und AmCache liefern beide Hinweise auf Programmausführungen unter Windows, aber sie zeichnen unterschiedliche Dinge auf, zu unterschiedlichen Zeitpunkten und mit unterschiedlicher Verlässlichkeit. Ein praktischer Vergleich für forensische Ermittler.

Der Windows-ShimCache liegt in einem einzigen Registry-Wert, wird aber nur beim Shutdown persistiert. Den Speicherpfad und das Schreibtiming zu verstehen, ändert, wie Ermittler mit flüchtigen Beweisen umgehen.

Ein praktischer Durchgang durch das AppCompatCache-Binärlayout von Windows 10 und 11: Header-Bytes, Per-Eintrag-Magic, Pfadkodierung und die Offsets, die ein Parser richtig hinbekommen muss.

Eine praxisnahe Einführung in den Windows-ShimCache: wo er liegt, was er aufzeichnet und wie forensische Ermittler ihn nutzen, um die Existenz von Programmen nachzuweisen.