Blog de Shimcache y forense de Windows

El diseño binario del AppCompatCache cambió con casi cada release de Windows. Esta es una referencia por versión para los formatos más antiguos: XP, Server 2003, Vista/2008, Windows 7 y 8, y los valores mágicos que los identifican.

Sí, y precisamente por eso importa. El ShimCache retiene rutinariamente entradas de ejecutables que ya no existen en disco. Aquí está por qué, cuánto sobreviven y cómo usar entradas de archivos borrados como evidencia.

Las herramientas de ejecución remota dejan una huella reconocible en el ShimCache tanto en los hosts origen como en los destino. Esta es una guía práctica para usar el AppCompatCache para reconstruir el movimiento lateral en un parque Windows.

La marca de tiempo de una entrada del ShimCache es la hora de última modificación del archivo, no cuándo corrió el programa. Aquí está exactamente qué es el valor, por qué confunde a los investigadores y cómo usarlo correctamente.

Prefetch registra ejecución; ShimCache registra que Windows examinó un archivo. Responden a preguntas distintas con fiabilidades distintas. Un cara a cara práctico para investigadores.

El ShimCache se puede manipular, pero rara vez de forma limpia. Este post cataloga cómo los atacantes intentan borrar o modificar entradas del shimcache, y las señales forenses que los investigadores pueden usar para detectarlo.

Como el ShimCache de Windows solo se vuelca al registro al apagar, un volcado de memoria suele contener entradas que el hive en disco no. Esta guía cubre la extracción con Volatility y Velociraptor.

Una línea de tiempo que fusiona ShimCache, AmCache, Prefetch y los datos BAM del hive SYSTEM es la columna vertebral de la mayoría de los informes IR de Windows. Esta guía recorre cómo montar una de principio a fin.

Un workflow práctico para usar el ShimCache de Windows para sacar a la luz binarios sospechosos durante el threat hunting y la respuesta a incidentes: qué buscar, cómo triagear los hits y cómo corroborarlos.

Los actores de ransomware borran sus herramientas rutinariamente, cifran y vacían y reinician para tapar huellas. El ShimCache es uno de los pocos artefactos que aún responde preguntas básicas después de eso. Aquí está cómo usarlo.

Una guía práctica para extraer el hive SYSTEM del registro de Windows (y sus registros de transacciones) para análisis forense offline: desde un disco muerto, un sistema vivo o una imagen de memoria.

Cuatro herramientas abiertas dominan el parseo offline del ShimCache, cada una con fortalezas distintas. Una comparativa práctica para elegir la adecuada para tu workflow.

Una referencia lado a lado de los cinco artefactos de Windows más útiles para probar la ejecución de programas: Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM, con su fiabilidad y limitaciones.

Una entrada del ShimCache se confunde con frecuencia con una prueba de que un binario se ejecutó. La verdad es más matizada. Aquí está lo que el cache realmente registra y cómo confirmar la ejecución correctamente.

ShimCache y AmCache aportan ambos evidencia de ejecución de programas en Windows, pero registran cosas distintas, en momentos distintos y con fiabilidades distintas. Una comparativa práctica para investigadores forenses.

El ShimCache de Windows reside en un único valor del registro pero solo se persiste al apagar. Entender su ruta de almacenamiento y el momento de escritura cambia cómo los investigadores manejan la evidencia volátil.

Un recorrido práctico por el diseño binario del AppCompatCache de Windows 10 y 11: bytes de cabecera, magic por entrada, codificación de rutas, y los offsets que un parser debe acertar.

Una introducción práctica al ShimCache de Windows: dónde reside, qué registra y cómo los investigadores forenses lo usan para probar la existencia de un programa.