Analyses approfondies de l'AppCompatCache Windows, d'AmCache, de Prefetch et des autres artefacts d'exécution de programmes.
La disposition binaire de l'AppCompatCache a changé à presque chaque release de Windows. Voici une référence par version des formats plus anciens : XP, Server 2003, Vista/2008, Windows 7 et 8, et les valeurs magic qui les identifient.
Lire l'article →Oui, et c'est exactement pour ça qu'il compte. Le ShimCache conserve régulièrement des entrées pour des exécutables qui n'existent plus sur disque. Voici pourquoi, combien de temps elles survivent, et comment utiliser les entrées de fichiers supprimés comme preuve.
Lire l'article →Les outils d'exécution à distance laissent une empreinte ShimCache reconnaissable sur les hôtes source et destination. Ceci est un guide pratique pour utiliser l'AppCompatCache pour reconstruire le mouvement latéral sur un parc Windows.
Lire l'article →L'horodatage d'une entrée ShimCache est l'heure de dernière modification du fichier, pas le moment où le programme a tourné. Voici exactement ce qu'est la valeur, pourquoi elle induit les enquêteurs en erreur, et comment l'utiliser correctement.
Lire l'article →Prefetch enregistre l'exécution ; ShimCache enregistre que Windows a examiné un fichier. Ils répondent à des questions différentes avec des fiabilités différentes. Un duel pratique pour les enquêteurs.
Lire l'article →Le ShimCache peut être manipulé, mais rarement proprement. Ce billet catalogue comment les attaquants tentent d'effacer ou modifier des entrées du shimcache, et les indices forensiques que les enquêteurs peuvent utiliser pour les repérer.
Lire l'article →Parce que le ShimCache Windows n'est vidé dans le registre qu'à l'arrêt, un dump mémoire contient souvent des entrées que le hive sur disque n'a pas. Ce guide couvre l'extraction avec Volatility et Velociraptor.
Lire l'article →Une chronologie qui fusionne ShimCache, AmCache, Prefetch et les données BAM du hive SYSTEM est la colonne vertébrale de la plupart des rapports IR Windows. Ce guide déroule la construction de bout en bout.
Lire l'article →Un workflow pratique pour utiliser le ShimCache Windows pour faire émerger des binaires suspects pendant le threat hunting et la réponse à incident : quoi chercher, comment trier les hits, et comment les corroborer.
Lire l'article →Les acteurs ransomware suppriment leurs outils en routine, chiffrent et essuient, et redémarrent pour brouiller les pistes. Le ShimCache est l'un des rares artefacts qui répond encore aux questions de base après tout ça. Voici comment l'utiliser.
Lire l'article →Un guide pratique pour extraire le hive de registre SYSTEM Windows (et ses journaux de transactions) pour une analyse forensique hors ligne : depuis un disque mort, un système vivant ou une image mémoire.
Lire l'article →Quatre outils ouverts dominent le parsing hors ligne du ShimCache, chacun avec ses forces. Une comparaison pratique pour choisir le bon pour ton workflow.
Lire l'article →Une référence côte à côte des cinq artefacts Windows les plus utiles pour prouver l'exécution de programmes : Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM, avec leur fiabilité et leurs limites.
Lire l'article →Une entrée du ShimCache est régulièrement confondue avec une preuve qu'un binaire a tourné. La réalité est plus nuancée. Voici ce que le cache enregistre vraiment, et comment confirmer correctement l'exécution.
Lire l'article →ShimCache et AmCache remontent tous les deux des preuves d'exécution de programmes sous Windows, mais ils enregistrent des choses différentes, à des moments différents, avec des fiabilités différentes. Une comparaison pratique pour les enquêteurs forensiques.
Lire l'article →Le ShimCache Windows réside dans une seule valeur de registre mais n'est persistée qu'à l'arrêt. Comprendre son chemin de stockage et son timing d'écriture change la façon dont les enquêteurs traitent les preuves volatiles.
Lire l'article →Un parcours pratique de la disposition binaire de l'AppCompatCache de Windows 10 et 11 : octets d'en-tête, magic par entrée, encodage des chemins, et les offsets qu'un parser doit avoir justes.
Lire l'article →Une introduction pratique au ShimCache de Windows : où il se trouve, ce qu'il enregistre et comment les enquêteurs forensiques s'en servent pour prouver l'existence d'un programme.
Lire l'article →