de

Den ShimCache in Ransomware-Ermittlungen einsetzen

3 Min. Lesezeit

TL;DR. Ransomware-Akteure löschen Tools und starten neu. ShimCache überlebt das oft und bewahrt Dropper-Pfade und Staging-Tools von vor der Verschlüsselung. Zieh den SYSTEM-Hive plus einen RAM-Dump, wenn der Host nicht sauber neu gestartet wurde, belege dann mit AmCache für hashbasierte Zuordnung.

Ransomware-Ermittlungen sind Forensik gegen den Wind. Verschlüsselte Festplatten, gelöschte Tools, manchmal gewischte Eventlogs und ein Angreiferanreiz zum Neustarten. Der ShimCache ist eines der wenigen Artefakte, das in dieser Umgebung noch grundlegende Fragen beantwortet. Das ist das taktische Playbook, das ich nutze.

Was der ShimCache typischerweise bewahrt

In einem typischen Ransomware-Einsatz, wenn du eintriffst:

  • Die Encryptor-Binärdatei ist meist weg. Von sich selbst oder einem Cleanup-Skript gewischt.
  • Das Prefetch-Verzeichnis kann geleert sein, wenn der Angreifer daran gedacht hat.
  • EVTX-Logs sind manchmal beschnitten. Event-ID 1102 ist der berühmte Hinweis.
  • AmCache bleibt. Es schreibt kontinuierlich und trägt SHA-1-Hashes.
  • ShimCache hält, was beim letzten sauberen Shutdown geleert wurde. Häufig den Dropper und Staging-Tools, die früh im Eindringen liefen.

Weil der Cache nur beim Shutdown geleert wird (Details), wird der nützlichste Stand oft aus einem Speicher-Image des laufenden kompromittierten Systems vor dem Reboot gezogen. Wenn das System bereits neu gestartet hat, gibt dir der On-Disk-Hive trotzdem alles, was zu diesem Punkt persistiert wurde. Speicherextraktion wird in Den ShimCache aus einem Memory-Dump extrahieren behandelt.

Die drei Fragen, bei denen der ShimCache hilft

1. Was lief vor der Verschlüsselung? Sortiere nach mtime und gehe vom vermuteten Verschlüsselungsfenster rückwärts. Dropper-Pfade in \Temp\, \AppData\ oder \ProgramData\ tauchen regelmäßig auf. Quervergleich mit AmCache für SHA-1-Hashes. Siehe ShimCache vs. AmCache.

2. Wohin sind sie sonst pivotiert? Der ShimCache erfasst ausführbare Dateien auf angeschlossenen Volumes. Treffer auf UNC-Pfaden (\\?\UNC\) oder ungewöhnlichen Laufwerksbuchstaben zeigen auf Lateral-Movement-Infrastruktur: den File-Server, von dem sie staging-ten, das gemeinsame Admin-Tools-Verzeichnis, das Backup-Volume, das sie wischen wollten. Das USN-Journal und die MFT bestätigen oft die Schreibvorgänge.

3. Was waren die Staging-Tools? PsExec, WMIExec, mimikatz, Cobalt-Strike-Beacons, AnyDesk- und TeamViewer-Installer, eigene Loader. Sie alle hinterlassen ShimCache-Spuren. Die meisten Ransomware-Playbooks recyceln dieselben Tool-Namen; ein Scan gegen deine Standard-Ransomware-Indikatorliste fängt sie schnell ab.

Ein kurzer Workflow

  1. Beschaffe den SYSTEM-Hive plus seine SYSTEM.LOG1 und SYSTEM.LOG2 aus C:\Windows\System32\config\. Auf einem laufenden Host erfasse auch Speicher. Siehe Akquisition und Speicherextraktion.
  2. Parse zu einer (path, mtime, format)-Tabelle. Der Shimcache Parser hält den Hive offline in deinem Browser.
  3. Filtere nach Ransomware-Playbook-Signaturen: Encryptor-Namen, RMM-Installer (AnyDesk, ScreenConnect, Splashtop), Credential-Tools, Archiv-Utilities (7z, winrar, rar.exe), die für Exfil-Staging verwendet werden, Browser-History-Artefakte, falls der Angreifer Tools interaktiv heruntergeladen hat.
  4. Triagiere mit dem Malware-Hunting-Workflow.
  5. Baue eine Timeline, die ShimCache, AmCache, Prefetch und Eventlogs kombiniert. Der Timeline-Post geht durch das Tooling.
  6. Achte auf Manipulation. Ein verdächtig kurzer oder leerer ShimCache auf einem kompromittierten Host ist selbst ein Indikator. Siehe Anti-Forensik-Erkennung.

Übertreibe nicht

ShimCache-Beweise in Ransomware-Berichten werden von Versicherern, Rechtsbeiständen und Threat-Intel-Teams unter die Lupe genommen. Sei präzise:

  • Ein ShimCache-Hit auf encryptor.exe beweist, dass die Datei zu irgendeinem Zeitpunkt auf der Festplatte war. Er beweist nicht, dass die Datei diejenige war, die verschlüsselt hat (der Proof-of-Execution-Vorbehalt).
  • Die mtime ist die Last-Modified-Zeit der Datei. Nicht, wann die Ransomware lief.
  • Belege immer mit AmCache-SHA-1 für hashbasierte Zuordnung.
  • Wenn der BitLocker oder das BCD gewischt wurde, halten Registry-Hives und die Pagefile manchmal noch nützliche Brotkrumen.

Weiterführende Lektüre

Verwandte Artikel