fr

Utiliser le ShimCache dans les enquêtes ransomware

4 min de lecture

TL;DR. Les acteurs ransomware suppriment leurs outils et redémarrent. Le ShimCache survit souvent à ça, en préservant les chemins des droppers et les outils de staging d'avant le chiffrement. Récupère le hive SYSTEM plus un dump RAM si l'hôte n'a pas été rebooté proprement, puis corrobore avec AmCache pour l'attribution basée sur le hash.

Les enquêtes ransomware, c'est de la forensique contre le vent. Disques chiffrés, outils supprimés, parfois journaux d'événements effacés, et un attaquant incité à redémarrer. Le ShimCache est l'un des rares artefacts qui répond encore aux questions de base dans cet environnement. Voici le playbook tactique que j'utilise.

Ce que le ShimCache préserve typiquement

Dans un engagement ransomware typique, quand tu arrives :

  • Le binaire de chiffrement est généralement parti. Essuyé par lui-même ou par un script de nettoyage.
  • Le répertoire Prefetch peut avoir été vidé si l'attaquant y a pensé.
  • Les logs EVTX sont parfois tronqués. L'Event ID 1102 est l'indice célèbre.
  • AmCache persiste. Il écrit en continu et porte les hashs SHA-1.
  • Le ShimCache contient ce qui a été vidé au dernier arrêt propre. Fréquemment le dropper et les outils de staging qui ont tourné tôt dans l'intrusion.

Parce que le cache n'est vidé qu'à l'arrêt (détails), l'état le plus utile se récupère souvent depuis une image mémoire du système compromis en marche avant le reboot. Si le système a déjà redémarré, le hive sur disque te donne quand même tout ce qui a été persisté à ce moment-là. L'extraction mémoire est couverte dans extraire le ShimCache d'un dump mémoire.

Les trois questions que le ShimCache aide à répondre

1. Qu'a tourné avant le chiffrement ? Trie par mtime et remonte depuis la fenêtre de chiffrement suspectée. Les chemins de droppers dans \Temp\, \AppData\ ou \ProgramData\ apparaissent régulièrement. Croise avec AmCache pour les hashs SHA-1. Voir ShimCache vs AmCache.

2. Où d'autre ont-ils pivoté ? Le ShimCache capture les exécutables sur les volumes attachés. Les hits sur des chemins UNC (\\?\UNC\) ou des lettres de lecteur inhabituelles pointent vers l'infrastructure de mouvement latéral : le serveur de fichiers depuis lequel ils ont stagé, le répertoire d'outils admin partagé, le volume de backup qu'ils ont essayé d'essuyer. Le journal USN et la MFT confirment souvent les écritures.

3. Quels étaient les outils de staging ? PsExec, WMIExec, mimikatz, beacons Cobalt Strike, installateurs AnyDesk et TeamViewer, loaders sur mesure. Tous laissent des traces dans le ShimCache. La plupart des playbooks ransomware réutilisent les mêmes noms d'outils ; un scan contre ta liste standard d'indicateurs ransomware les attrape vite.

Un workflow court

  1. Acquiers le hive SYSTEM plus ses SYSTEM.LOG1 et SYSTEM.LOG2 depuis C:\Windows\System32\config\. Sur un hôte vivant, capture aussi la mémoire. Voir acquisition et extraction mémoire.
  2. Parse vers une table (path, mtime, format). Le Shimcache Parser garde le hive hors ligne dans ton navigateur.
  3. Filtre sur des signatures de playbook ransomware : noms d'encryptors, installateurs RMM (AnyDesk, ScreenConnect, Splashtop), outils de credentials, utilitaires d'archivage (7z, winrar, rar.exe) utilisés pour le staging d'exfil, artefacts d'historique de navigateur si l'attaquant a téléchargé des outils interactivement.
  4. Trie avec le workflow de chasse au malware.
  5. Construis une chronologie combinant ShimCache, AmCache, Prefetch et journaux d'événements. Le billet chronologie déroule le tooling.
  6. Surveille la manipulation. Un ShimCache suspectement court ou vide sur un hôte compromis est lui-même un indicateur. Voir détection anti-forensique.

Ne surcharge pas

Les preuves ShimCache dans les rapports ransomware sont scrutées par les assureurs, les conseils juridiques et les équipes threat intel. Sois précis :

  • Un hit ShimCache sur encryptor.exe prouve que le fichier était sur disque à un moment. Il ne prouve pas que le fichier est celui qui a chiffré (le caveat preuve d'exécution).
  • La mtime est l'heure de dernière modification du fichier. Pas le moment où le ransomware a tourné.
  • Corrobore toujours avec le SHA-1 d'AmCache pour l'attribution par hash.
  • Si BitLocker ou le BCD ont été effacés, les hives registre et le pagefile gardent parfois encore des miettes utiles.

Lectures complémentaires

Articles liés