Analyses approfondies de l'AppCompatCache Windows, d'AmCache, de Prefetch et des autres artefacts d'exécution de programmes.
La structure binaire de l'AppCompatCache a changé à presque chaque version de Windows. Voici une référence par version des anciens formats — XP, Server 2003, Vista/2008, Windows 7 et 8 — et les valeurs magiques qui les identifient.
Lire l'article →Oui — et c'est précisément pour cela qu'il compte. Le ShimCache conserve régulièrement des entrées pour des exécutables qui n'existent plus sur disque. Voici pourquoi, combien de temps elles survivent, et comment les utiliser comme preuve.
Lire l'article →L'outillage d'exécution à distance laisse une empreinte ShimCache reconnaissable sur les hôtes source et destination. Guide pratique pour reconstituer un déplacement latéral à travers un parc Windows avec l'AppCompatCache.
Lire l'article →L'horodatage d'une entrée ShimCache est la date de dernière modification du fichier — pas l'heure d'exécution du programme. Voici exactement ce que vaut cette valeur, pourquoi elle trompe les enquêteurs, et comment l'utiliser correctement.
Lire l'article →Le Prefetch enregistre l'exécution ; le ShimCache enregistre que Windows a examiné un fichier. Ils répondent à des questions différentes avec une fiabilité différente. Comparaison directe pour les enquêteurs.
Lire l'article →Le ShimCache peut être altéré — mais rarement proprement. Ce billet catalogue les tentatives des attaquants pour effacer ou modifier les entrées, et les indices forensiques que les enquêteurs peuvent utiliser pour les repérer.
Lire l'article →Parce que le ShimCache Windows n'est flushé dans le registre qu'à l'arrêt, un dump mémoire contient souvent des entrées que la ruche sur disque n'a pas. Ce guide couvre l'extraction avec Volatility et Velociraptor.
Lire l'article →Une chronologie qui fusionne ShimCache, AmCache, Prefetch et les données BAM de la ruche SYSTEM est l'ossature de la plupart des rapports IR Windows. Ce guide montre comment en assembler une de bout en bout.
Lire l'article →Un workflow concret pour utiliser le ShimCache Windows afin de faire ressortir les binaires suspects en threat hunting et en réponse à incident — quoi regarder, comment trier les hits et comment les corroborer.
Lire l'article →Les opérateurs de ransomwares suppriment leurs outils, chiffrent puis effacent, et redémarrent pour effacer les traces. Le ShimCache est l'un des rares artefacts qui répond encore aux questions basiques après cela. Voici comment l'utiliser.
Lire l'article →Guide pratique pour extraire la ruche de registre SYSTEM (et ses journaux de transaction) en vue d'une analyse forensique hors ligne — depuis un disque dead-box, un système en marche, ou une image mémoire.
Lire l'article →Quatre outils ouverts dominent l'analyse hors ligne du ShimCache — chacun a ses points forts. Comparaison pratique pour choisir le bon selon votre workflow.
Lire l'article →Référence côte à côte des cinq artefacts Windows les plus utiles pour prouver l'exécution d'un programme — Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM — avec leur fiabilité et leurs limites.
Lire l'article →Une entrée ShimCache est régulièrement prise à tort pour une preuve d'exécution d'un binaire. La réalité est plus nuancée — voici ce que le cache enregistre vraiment, et comment confirmer l'exécution correctement.
Lire l'article →ShimCache et AmCache fournissent tous deux des preuves d'exécution de programmes sur Windows, mais enregistrent des choses différentes, à des moments différents, avec une fiabilité différente. Comparaison pratique pour les enquêteurs forensiques.
Lire l'article →Le ShimCache Windows vit dans une seule valeur de registre mais n'est persisté qu'à l'arrêt. Comprendre son chemin de stockage et la temporisation d'écriture change la manière dont les enquêteurs traitent cette preuve volatile.
Lire l'article →Parcours pratique de la disposition binaire de l'AppCompatCache sous Windows 10 et 11 — octets d'en-tête, magic par entrée, encodage du chemin et offsets qu'un parser doit traiter correctement.
Lire l'article →Une introduction pratique au ShimCache Windows — où il vit, ce qu'il enregistre, et comment les enquêteurs forensiques s'en servent pour prouver l'existence d'un programme.
Lire l'article →