es

Forense de Windows AppCompatCache

Analiza el Shimcache de Windows en tu navegador.

Suelta una colmena de registro SYSTEM y extrae al instante cada entrada de AppCompatCache — ruta del archivo, fecha de modificación, formato del sistema — sin subir nunca el archivo.

  • No se sube nada
  • Parser en Rust + WebAssembly
  • De Windows XP a 11

Suelta una colmena SYSTEM aquí

o haz clic para examinar

También acepta una colección ZIP de triaje (KAPE, Velociraptor…) o una carpeta completa

Colmena SYSTEM sintética de una intrusión ficticia — sin datos reales.

Cómo obtener tus datos

¿Nunca has recogido una colmena SYSTEM? Elige el primer método que encaje: un comando y suelta el archivo aquí.

  1. Recoge la colmena SYSTEM
  2. Suelta aquí el archivo, la carpeta o el ZIP
  3. Se analiza en tu navegador — no se sube nada

Ejecuta como administrador (clic derecho en Símbolo del sistema o PowerShell → Ejecutar como administrador). Integrado en Windows: no hay nada que instalar.

Símbolo del sistema (admin)
mkdir C:\triage 2>nul & reg save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y
PowerShell (admin)
New-Item -ItemType Directory -Force -Path C:\triage | Out-Null; reg.exe save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y

Crea C:\triage\SYSTEM.hiv: suelta ese único archivo. reg save escribe una copia limpia y coherente de la colmena activa, así que no hacen falta registros de transacciones.

Trampas habituales

  • El archivo SYSTEM activo está bloqueado: un simple copy falla, y algunas herramientas generan sin avisar un archivo lleno de ceros. Usa reg save o una herramienta de copia en bruto.
  • Aquí no se reproducen los registros: una copia en bruto de una colmena activa puede perder escrituras recientes. Reproduce antes SYSTEM.LOG1 / SYSTEM.LOG2, o usa reg save.
  • Windows solo escribe la caché en el registro al apagar o reiniciar: las ejecuciones desde el último arranque solo existen en memoria (captura la RAM, p. ej. Volatility windows.shimcachemem).
Guía de adquisición completa →

Todo se ejecuta localmente. Tu colmena nunca sale de esta página.

Qué obtienes

Todo lo que guarda la ShimCache, sin herramientas pesadas

  • Todos los ControlSets

    ControlSet001, 002 y cualquier otro se analizan y etiquetan, con el conjunto activo marcado, para no perder entradas que solo sobreviven en el de respaldo.

  • De Windows XP a 11

    Los formatos de caché de XP, Server 2003, Vista/7 (x86 y x64), 8, 8.1, 10 y 11 se detectan automáticamente.

  • Triaje de sospechosos

    Se marcan herramientas ofensivas conocidas y rutas escribibles por el usuario o de preparación, para leer primero lo importante.

  • Exportación CSV y JSON

    Lleva la vista filtrada a tu línea temporal, hoja de cálculo o SIEM, con ControlSet y formato en cada fila.

  • Colecciones de triaje

    Suelta un ZIP de KAPE o Velociraptor, o una carpeta completa: se localizan la colmena SYSTEM y su copia RegBack, y se explica todo lo demás. Los registros de transacciones se indican, no se reproducen.

  • Privado por diseño

    El parser en Rust se ejecuta como WebAssembly en tu pestaña. Nada se sube, registra ni almacena en un servidor.

Cómo funciona

De la colmena a la línea temporal en tres pasos

  1. 01

    Obtén la colmena SYSTEM

    Copia C:\Windows\System32\config\SYSTEM con KAPE, FTK Imager o reg save, o desde una imagen montada.

  2. 02

    Suéltala aquí

    El archivo se lee localmente y lo analiza WebAssembly en un worker, normalmente en menos de un segundo.

  3. 03

    Triaje y exportación

    Ordena, filtra y revisa las rutas marcadas; después exporta CSV o JSON para tus notas del caso.

Herramientas relacionadas

Artefactos que responden a la siguiente pregunta del mismo caso.

FAQ

Forense del Shimcache — preguntas frecuentes

Respuestas rápidas a las preguntas más habituales al analizar el AppCompatCache de Windows.

¿Qué es el ShimCache de Windows (AppCompatCache)?
El ShimCache, también llamado AppCompatCache, es una función de Windows que registra los ejecutables que el sistema operativo ha examinado para la compatibilidad de aplicaciones (shimming). Almacena hasta 1.024 entradas por sistema, incluyendo la ruta del archivo y la marca de tiempo de última modificación. Los investigadores lo utilizan como evidencia de que un binario existió en un equipo, incluso después de eliminarlo.
¿Una entrada del ShimCache prueba que un programa se ejecutó?
No. El ShimCache registra los archivos que Windows examinó, lo que suele —pero no siempre— implicar ejecución. En Windows 10 y 11 se eliminó el indicador de ejecución de la caché, por lo que se necesitan artefactos complementarios (Prefetch, AmCache, registros de eventos de Seguridad o Sysmon) para confirmar una ejecución real.
¿Por qué la marca de tiempo del ShimCache no coincide con cuándo se ejecutó el programa?
La marca de tiempo mostrada es la fecha de última modificación del archivo ($STANDARD_INFORMATION), no la hora de ejecución. Un binario copiado sin cambiar la marca temporal mostrará su mtime original. Trata el ShimCache como un artefacto de «existencia de programa», no como una línea de tiempo de ejecución.
¿Se pueden borrar o manipular las entradas del ShimCache?
Sí. El ShimCache se mantiene en memoria y solo se escribe en la colmena SYSTEM al apagar el equipo, por lo que un reinicio forzado puede perder las entradas recientes. Herramientas antiforenses y la edición del registro también pueden vaciarlo o modificarlo. Corrobora siempre con AmCache, Prefetch y los registros de eventos.
¿Cuál es la diferencia entre ShimCache y AmCache?
El ShimCache se encuentra en HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache y almacena hasta 1.024 entradas con ruta + mtime. AmCache (Amcache.hve) es una base de datos independiente que registra programas instalados y archivos ejecutados recientemente con hashes SHA-1 y metadatos mucho más ricos. Ambos artefactos se complementan en las líneas de tiempo forenses.

¿Tienes una colmena SYSTEM a mano?

Suéltala y verás cada ejecutable que Windows anotó, en segundos y sin que el archivo salga de tu equipo.