es

Usar el ShimCache en investigaciones de ransomware

4 min de lectura

TL;DR. Los actores de ransomware borran herramientas y reinician. El ShimCache suele sobrevivir a eso, preservando rutas de droppers y herramientas de staging de antes del cifrado. Saca el hive SYSTEM más un volcado de RAM si el host no ha sido reiniciado limpiamente, luego corrobora con AmCache para atribución basada en hash.

Las investigaciones de ransomware son forense contra el viento. Discos cifrados, herramientas borradas, a veces logs de eventos vaciados, y un incentivo del atacante para reiniciar. El ShimCache es uno de los pocos artefactos que aún responde preguntas básicas en ese entorno. Este es el playbook táctico que uso.

Lo que típicamente preserva el ShimCache

En un compromiso de ransomware típico, para cuando llegas:

  • El binario encryptor suele estar fuera. Borrado por sí mismo o por un script de limpieza.
  • El directorio Prefetch puede haber sido vaciado si al atacante se le ocurrió.
  • Los logs EVTX están a veces truncados. El Event ID 1102 es la señal famosa.
  • AmCache persiste. Escribe de forma continua y lleva hashes SHA-1.
  • El ShimCache contiene lo que se volcó en el último apagado limpio. Frecuentemente el dropper y las herramientas de staging que corrieron temprano en la intrusión.

Como el cache solo se vuelca al apagar (detalles), el estado más útil se suele sacar de una imagen de memoria del sistema comprometido en marcha antes del reinicio. Si el sistema ya reinició, el hive en disco aún te da todo lo que se persistió en ese punto. La extracción de memoria se cubre en extraer el ShimCache de un volcado de memoria.

Las tres preguntas que el ShimCache ayuda a responder

1. ¿Qué corrió antes del cifrado? Ordena por mtime y camina hacia atrás desde la ventana de cifrado sospechada. Rutas de droppers en \Temp\, \AppData\ o \ProgramData\ aparecen con regularidad. Cruza con AmCache para hashes SHA-1. Mira ShimCache vs AmCache.

2. ¿Dónde más pivotaron? El ShimCache captura ejecutables en volúmenes conectados. Hits en rutas UNC (\\?\UNC\) o letras de unidad inusuales apuntan a la infraestructura de movimiento lateral: el servidor de archivos del que stagearon, el directorio compartido de herramientas de admin, el volumen de backup que intentaron vaciar. El USN journal y la MFT suelen confirmar las escrituras.

3. ¿Cuáles fueron las herramientas de staging? PsExec, WMIExec, mimikatz, beacons de Cobalt Strike, instaladores de AnyDesk y TeamViewer, loaders a medida. Todos dejan huellas en el ShimCache. La mayoría de los playbooks de ransomware reutilizan los mismos nombres de herramientas; un scan contra tu lista estándar de indicadores de ransomware los pilla rápido.

Un workflow corto

  1. Adquiere el hive SYSTEM más sus SYSTEM.LOG1 y SYSTEM.LOG2 de C:\Windows\System32\config\. En un host vivo, captura también memoria. Mira adquisición y extracción de memoria.
  2. Parsea a una tabla (path, mtime, format). El Shimcache Parser mantiene el hive offline en tu navegador.
  3. Filtra por firmas del playbook ransomware: nombres de encryptor, instaladores RMM (AnyDesk, ScreenConnect, Splashtop), herramientas de credenciales, utilidades de archivo (7z, winrar, rar.exe) usadas para staging de exfil, artefactos de historial de navegador si el atacante descargó herramientas interactivamente.
  4. Triagea con el workflow de caza de malware.
  5. Construye una línea de tiempo combinando ShimCache, AmCache, Prefetch y logs de eventos. El post de línea de tiempo recorre el tooling.
  6. Vigila la manipulación. Un ShimCache sospechosamente corto o vacío en un host comprometido es en sí mismo un indicador. Mira detección anti-forense.

No exageres

La evidencia de ShimCache en informes de ransomware la escrutan aseguradoras, abogados y equipos de inteligencia de amenazas. Sé preciso:

  • Un hit del ShimCache en encryptor.exe prueba que el archivo estuvo en disco en algún momento. No prueba que el archivo fuera el que cifró (la salvedad de prueba de ejecución).
  • La mtime es la hora de última modificación del archivo. No cuándo corrió el ransomware.
  • Corrobora siempre con el SHA-1 de AmCache para atribución por hash.
  • Si BitLocker o BCD fueron vaciados, los hives del registro y la pagefile a veces aún contienen migajas útiles.

Lectura adicional

Artículos relacionados