Blog de Shimcache y forense de Windows

La estructura binaria del AppCompatCache cambió en casi cada versión de Windows. Esta es una referencia por versión de los formatos antiguos — XP, Server 2003, Vista/2008, Windows 7 y 8 — y los valores mágicos que los identifican.

Sí — y por eso precisamente importa. El ShimCache retiene rutinariamente entradas de ejecutables que ya no existen en disco. Aquí está por qué, cuánto sobreviven y cómo usar las entradas de archivos eliminados como evidencia.

El herramental de ejecución remota deja una huella ShimCache reconocible tanto en el host origen como en el destino. Guía práctica para reconstruir el movimiento lateral en un parque Windows con el AppCompatCache.

La marca de tiempo de una entrada ShimCache es la fecha de última modificación del archivo — no cuándo se ejecutó el programa. Esto es exactamente qué es ese valor, por qué confunde a los investigadores y cómo usarlo correctamente.

Prefetch registra la ejecución; ShimCache registra que Windows examinó un archivo. Responden a preguntas distintas con fiabilidad distinta. Comparación directa para investigadores.

El ShimCache puede manipularse — pero rara vez de forma limpia. Este post cataloga cómo los atacantes intentan limpiar o modificar entradas, y las señales forenses que los investigadores pueden usar para detectarlo.

Como el ShimCache de Windows solo se vuelca al registro al apagar, un volcado de memoria suele contener entradas que la colmena en disco no tiene. Esta guía cubre la extracción con Volatility y Velociraptor.

Una línea temporal que fusiona ShimCache, AmCache, Prefetch y los datos BAM de la colmena SYSTEM es la columna vertebral de la mayoría de informes IR de Windows. Esta guía la monta de principio a fin.

Un flujo de trabajo práctico para usar el ShimCache de Windows en threat hunting y respuesta a incidentes — qué buscar, cómo triar los hits y cómo corroborarlos.

Los actores de ransomware suelen borrar sus herramientas, cifrar y limpiar, y reiniciar para encubrir huellas. El ShimCache es uno de los pocos artefactos que aún responde a las preguntas básicas después de eso. Aquí te explicamos cómo usarlo.

Una guía práctica para extraer la colmena de registro SYSTEM (y sus logs de transacción) para análisis forense offline — desde un disco apagado, un sistema en marcha o una imagen de memoria.

Cuatro herramientas libres dominan el análisis offline del ShimCache — cada una con sus puntos fuertes. Comparativa práctica para escoger la adecuada según tu workflow.

Referencia lado a lado de los cinco artefactos de Windows más útiles para probar la ejecución de un programa — Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM — con su fiabilidad y limitaciones.

Una entrada del ShimCache se confunde con frecuencia con prueba de ejecución de un binario. La realidad es más matizada — esto es lo que el caché realmente registra y cómo confirmar la ejecución correctamente.

ShimCache y AmCache aportan evidencia de ejecución de programas en Windows, pero registran cosas distintas, en momentos distintos, con fiabilidad distinta. Comparación práctica para investigadores forenses.

El ShimCache de Windows reside en un único valor del registro pero solo se persiste al apagar. Entender su ruta de almacenamiento y el momento de escritura cambia cómo los investigadores tratan esta evidencia volátil.

Recorrido práctico por el diseño binario del AppCompatCache de Windows 10 y 11 — bytes de cabecera, magic por entrada, codificación de la ruta y los offsets que un parser debe acertar.

Una introducción práctica al ShimCache de Windows — dónde reside, qué registra y cómo los investigadores forenses lo usan para probar la existencia de un programa.