fr

Forensique Windows AppCompatCache

Analysez le Shimcache Windows dans votre navigateur.

Déposez une ruche de registre SYSTEM et extrayez instantanément chaque entrée AppCompatCache — chemin du fichier, date de modification, format du système — sans jamais transférer le fichier.

  • Aucun envoi de fichier
  • Parseur Rust + WebAssembly
  • De Windows XP à 11

Déposez une ruche SYSTEM ici

ou cliquez pour parcourir

Accepte aussi une collecte ZIP (KAPE, Velociraptor…) ou un dossier entier

Ruche SYSTEM synthétique issue d'une intrusion fictive — aucune donnée réelle.

Comment obtenir vos données

Jamais collecté de ruche SYSTEM ? Prenez la première méthode qui convient : une commande, puis déposez le fichier ici.

  1. Collectez la ruche SYSTEM
  2. Déposez le fichier, le dossier ou le ZIP ici
  3. Analysé dans votre navigateur — rien n'est envoyé

À exécuter en administrateur (clic droit sur Invite de commandes ou PowerShell → Exécuter en tant qu'administrateur). Intégré à Windows — rien à installer.

Invite de commandes (admin)
mkdir C:\triage 2>nul & reg save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y
PowerShell (admin)
New-Item -ItemType Directory -Force -Path C:\triage | Out-Null; reg.exe save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y

Crée C:\triage\SYSTEM.hiv — déposez ce seul fichier. reg save écrit une copie propre et cohérente de la ruche active : aucun journal de transactions n'est nécessaire.

Pièges

  • Le fichier SYSTEM actif est verrouillé : un simple copy échoue, et certains outils produisent sans prévenir un fichier rempli de zéros. Utilisez reg save ou un outil de copie brute.
  • Pas de rejeu des journaux ici : une copie brute d'une ruche active peut manquer des écritures récentes. Rejouez d'abord SYSTEM.LOG1 / SYSTEM.LOG2, ou utilisez reg save.
  • Windows n'écrit le cache dans le registre qu'à l'arrêt ou au redémarrage : les exécutions depuis le dernier démarrage n'existent qu'en mémoire (capturez la RAM, par ex. Volatility windows.shimcachemem).
Guide d'acquisition complet →

Tout s'exécute localement. Votre ruche ne quitte jamais cette page.

Ce que vous obtenez

Tout le contenu du ShimCache, sans l'outillage lourd

  • Tous les ControlSets

    ControlSet001, 002 et les autres sont analysés et étiquetés, le jeu actif est signalé : les entrées qui ne subsistent que dans le jeu de secours ne passent pas à la trappe.

  • De Windows XP à 11

    Les formats de cache XP, Server 2003, Vista/7 (x86 et x64), 8, 8.1, 10 et 11 sont détectés automatiquement.

  • Tri des suspects

    Les outils offensifs connus et les chemins inscriptibles ou de staging sont signalés, pour lire d'abord les lignes qui comptent.

  • Export CSV et JSON

    Emportez la vue filtrée dans votre timeline, votre tableur ou votre SIEM, avec ControlSet et format sur chaque ligne.

  • Collectes de triage

    Déposez un ZIP KAPE ou Velociraptor, ou un dossier entier : la ruche SYSTEM et sa copie RegBack sont trouvées pour vous, et tout le reste est expliqué. Les journaux de transactions sont signalés, pas rejoués.

  • Confidentiel par conception

    Le parseur Rust tourne en WebAssembly dans votre onglet. Rien n'est envoyé, journalisé ni stocké sur un serveur.

Fonctionnement

De la ruche à la timeline en trois étapes

  1. 01

    Collectez la ruche SYSTEM

    Copiez C:\Windows\System32\config\SYSTEM avec KAPE, FTK Imager ou reg save, ou depuis une image montée.

  2. 02

    Déposez-la ici

    Le fichier est lu localement et analysé par WebAssembly dans un worker, généralement en bien moins d'une seconde.

  3. 03

    Triez et exportez

    Triez, filtrez, examinez les chemins signalés, puis exportez en CSV ou JSON pour votre dossier.

Outils associés

Les artefacts qui répondent à la question suivante de la même enquête.

FAQ

Forensique du Shimcache — questions fréquentes

Réponses rapides aux questions que se posent les enquêteurs lors de l'analyse de l'AppCompatCache Windows.

Qu'est-ce que le ShimCache Windows (AppCompatCache) ?
Le ShimCache, aussi appelé AppCompatCache, est une fonctionnalité Windows qui suit les exécutables que le système d'exploitation a examinés pour la compatibilité applicative (shimming). Il stocke jusqu'à 1 024 entrées par machine, incluant le chemin du fichier et l'horodatage de dernière modification. Les enquêteurs s'appuient dessus comme preuve qu'un binaire a existé sur une machine — même après la suppression du fichier.
Une entrée ShimCache prouve-t-elle l'exécution d'un programme ?
Non. Le ShimCache enregistre les fichiers que Windows a examinés, ce qui implique souvent — mais pas toujours — une exécution. Sur Windows 10 et 11, le drapeau d'exécution dans le cache a été supprimé ; il faut donc corroborer avec d'autres artefacts (Prefetch, AmCache, journaux d'événements Sécurité ou Sysmon) pour confirmer une exécution réelle.
Pourquoi l'horodatage du ShimCache ne correspond-il pas à l'heure d'exécution ?
L'horodatage affiché est la date de dernière modification du fichier ($STANDARD_INFORMATION), pas l'heure d'exécution. Un binaire copié sans modification d'horodatage affichera son mtime d'origine. Le ShimCache est un artefact d'« existence de programme », pas une chronologie d'exécution.
Les entrées du ShimCache peuvent-elles être supprimées ou altérées ?
Oui. Le ShimCache est conservé en mémoire et n'est écrit dans la ruche SYSTEM qu'à l'arrêt ; un redémarrage à froid peut donc perdre les entrées récentes. Des outils anti-forensiques et l'édition du registre peuvent aussi le vider ou le modifier. Corroborez toujours avec AmCache, Prefetch et les journaux d'événements.
Quelle est la différence entre ShimCache et AmCache ?
Le ShimCache se trouve dans HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache et stocke jusqu'à 1 024 entrées chemin + mtime. AmCache (Amcache.hve) est une base distincte qui enregistre les programmes installés et les fichiers récemment exécutés avec des empreintes SHA-1 et des métadonnées bien plus riches. Les deux artefacts se complètent dans les chronologies forensiques.

Une ruche SYSTEM sous la main ?

Déposez-la et voyez chaque exécutable noté par Windows, en quelques secondes, sans que le fichier quitte votre machine.