Shimcache- & Windows-Forensik-Blog

Das AppCompatCache-Binärlayout änderte sich mit fast jedem Windows-Release. Dies ist eine Referenz pro Version zu den älteren Formaten — XP, Server 2003, Vista/2008, Windows 7 und 8 — und den Magic-Werten, die sie identifizieren.

Ja — und genau deshalb ist er wichtig. Der ShimCache behält routinemäßig Einträge für ausführbare Dateien, die nicht mehr auf der Disk existieren. Hier steht warum, wie lange sie überleben und wie man Einträge gelöschter Dateien als Beweis nutzt.

Remote-Execution-Werkzeuge hinterlassen einen erkennbaren ShimCache-Fußabdruck auf Quell- und Ziel-Host. Eine praktische Anleitung, laterale Bewegung über eine Windows-Landschaft mit dem AppCompatCache zu rekonstruieren.

Der Zeitstempel eines ShimCache-Eintrags ist die letzte Änderungszeit der Datei — nicht der Ausführungszeitpunkt des Programms. Hier steht genau, was der Wert ist, warum er Ermittler in die Irre führt und wie man ihn korrekt nutzt.

Prefetch zeichnet Ausführung auf; ShimCache zeichnet auf, dass Windows eine Datei untersucht hat. Sie beantworten unterschiedliche Fragen mit unterschiedlicher Zuverlässigkeit. Ein direkter Vergleich für Forensiker.

Der ShimCache lässt sich manipulieren — aber selten sauber. Dieser Beitrag zeigt, was Angreifer tatsächlich versuchen, und welche forensischen Indizien Ermittler nutzen können, um Manipulation zu erkennen.

Weil der Windows-ShimCache erst beim Shutdown in die Registry geschrieben wird, enthält ein Speicher-Dump häufig Einträge, die die On-Disk-Hive nicht hat. Anleitung mit Volatility und Velociraptor.

Eine Timeline, die ShimCache, AmCache, Prefetch und die BAM-Daten der SYSTEM-Hive vereint, ist das Rückgrat der meisten Windows-IR-Berichte. Anleitung von Anfang bis Ende.

Ein praktischer Workflow, um den Windows-ShimCache im Threat Hunting und in der Incident Response zu nutzen — worauf zu achten ist, wie Hits triagiert und korroboriert werden.

Ransomware-Akteure löschen ihre Werkzeuge, verschlüsseln und wischen, und starten neu, um Spuren zu verwischen. Der ShimCache ist eines der wenigen Artefakte, das danach noch grundlegende Fragen beantwortet. So nutzen Sie ihn.

Praktische Anleitung zum Auslesen der SYSTEM-Registry-Hive (samt Transaktionslogs) für die Offline-Forensik — von der toten Disk, vom laufenden System, oder aus einem Speicher-Image.

Vier offene Werkzeuge dominieren das Offline-Parsen des ShimCache — jedes mit eigenen Stärken. Praktischer Vergleich für die Tool-Wahl je nach Workflow.

Seitliche Referenz der fünf Windows-Artefakte, die für den Nachweis einer Programmausführung am nützlichsten sind — Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM — mit Zuverlässigkeit und Einschränkungen.

Ein ShimCache-Eintrag wird regelmäßig fälschlich als Beweis für eine Ausführung verstanden. Die Wahrheit ist nuancierter — hier ist, was der Cache tatsächlich aufzeichnet und wie man die Ausführung korrekt bestätigt.

ShimCache und AmCache liefern beide Hinweise zur Programmausführung unter Windows, zeichnen aber Unterschiedliches zu unterschiedlichen Zeitpunkten und mit unterschiedlicher Zuverlässigkeit auf. Ein praktischer Vergleich für Forensiker.

Der Windows-ShimCache liegt in einem einzigen Registry-Wert, wird aber nur beim Herunterfahren persistiert. Speicherpfad und Schreibzeitpunkt zu verstehen, verändert, wie Forensiker mit dieser flüchtigen Beweisquelle umgehen.

Praktischer Walkthrough des Binärlayouts des AppCompatCache unter Windows 10 und 11 — Header-Bytes, Magic pro Eintrag, Pfad-Encoding und die Offsets, die ein Parser korrekt treffen muss.

Eine praktische Einführung in den Windows-ShimCache — wo er liegt, was er aufzeichnet und wie Forensiker damit die Existenz eines Programms belegen.