it

Forensics di Windows AppCompatCache

Analizza lo Shimcache di Windows nel browser.

Trascina una hive di registro SYSTEM ed estrai all'istante ogni voce di AppCompatCache — percorso del file, data di ultima modifica, formato del sistema — senza mai caricare il file.

  • Nessun upload
  • Parser Rust + WebAssembly
  • Da Windows XP a 11

Trascina qui una hive SYSTEM

oppure clicca per sfogliare

Accetta anche una raccolta ZIP di triage (KAPE, Velociraptor…) o un'intera cartella

Hive SYSTEM sintetica di un'intrusione fittizia — nessun dato reale.

Come ottenere i tuoi dati

Non hai mai raccolto una hive SYSTEM? Scegli il primo metodo adatto: un comando, poi trascina qui il file.

  1. Raccogli la hive SYSTEM
  2. Trascina qui il file, la cartella o lo ZIP
  3. Analizzato nel tuo browser — nessun caricamento

Esegui come amministratore (clic destro su Prompt dei comandi o PowerShell → Esegui come amministratore). Integrato in Windows: niente da installare.

Prompt dei comandi (admin)
mkdir C:\triage 2>nul & reg save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y
PowerShell (admin)
New-Item -ItemType Directory -Force -Path C:\triage | Out-Null; reg.exe save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y

Crea C:\triage\SYSTEM.hiv: trascina solo quel file. reg save scrive una copia pulita e coerente della hive attiva, quindi i log delle transazioni non servono.

Insidie

  • Il file SYSTEM attivo è bloccato: un semplice copy fallisce e alcuni strumenti producono senza avvisare un file pieno di zeri. Usa reg save o uno strumento di copia raw.
  • Qui i log non vengono riapplicati: una copia raw di una hive attiva può perdere le scritture recenti. Riapplica prima SYSTEM.LOG1 / SYSTEM.LOG2, oppure usa reg save.
  • Windows scrive la cache nel registro solo allo spegnimento o al riavvio: le esecuzioni dall'ultimo avvio esistono solo in memoria (acquisisci la RAM, ad es. Volatility windows.shimcachemem).
Guida completa all'acquisizione →

Tutto avviene localmente. La tua hive non lascia mai questa pagina.

Cosa ottieni

Tutto ciò che contiene la ShimCache, senza strumenti pesanti

  • Ogni ControlSet

    ControlSet001, 002 e gli altri vengono analizzati ed etichettati, con il set attivo evidenziato: le voci che sopravvivono solo nel set di backup non sfuggono.

  • Da Windows XP a 11

    I formati di cache di XP, Server 2003, Vista/7 (x86 e x64), 8, 8.1, 10 e 11 vengono rilevati automaticamente.

  • Triage dei sospetti

    Strumenti offensivi noti e percorsi scrivibili dall'utente o di staging vengono segnalati, così le righe da leggere per prime saltano all'occhio.

  • Esportazione CSV e JSON

    Porta la vista filtrata nella tua timeline, nel foglio di calcolo o nel SIEM, con ControlSet e formato su ogni riga.

  • Raccolte di triage

    Rilascia uno ZIP di KAPE o Velociraptor, o un'intera cartella: l'hive SYSTEM e la sua copia RegBack vengono trovati per te, e tutto il resto viene spiegato. I log delle transazioni sono segnalati, non riapplicati.

  • Privato per progettazione

    Il parser Rust gira come WebAssembly nella scheda del browser. Nulla viene caricato, registrato o salvato su un server.

Come funziona

Dall'hive alla timeline in tre passi

  1. 01

    Raccogli l'hive SYSTEM

    Copia C:\Windows\System32\config\SYSTEM con KAPE, FTK Imager o reg save, oppure da un'immagine montata.

  2. 02

    Trascinalo qui

    Il file viene letto in locale e analizzato da WebAssembly in un worker, di solito in molto meno di un secondo.

  3. 03

    Triage ed esportazione

    Ordina, filtra e rivedi i percorsi segnalati, poi esporta CSV o JSON per le note del caso.

FAQ

Forense dello Shimcache — domande frequenti

Risposte rapide alle domande più comuni quando si analizza l'AppCompatCache di Windows.

Cos'è lo ShimCache di Windows (AppCompatCache)?
Lo ShimCache, noto anche come AppCompatCache, è una funzionalità di Windows che tiene traccia degli eseguibili esaminati dal sistema operativo per la compatibilità delle applicazioni (shimming). Memorizza fino a 1.024 voci per sistema, comprese il percorso del file e la data di ultima modifica. Gli investigatori lo usano come prova che un binario sia esistito su una macchina — anche dopo l'eliminazione del file.
Una voce dello ShimCache prova che un programma è stato eseguito?
No. Lo ShimCache registra i file esaminati da Windows, il che spesso — ma non sempre — implica l'esecuzione. Su Windows 10 e 11 il flag di esecuzione nella cache è stato rimosso: per confermare un'esecuzione reale servono artefatti complementari (Prefetch, AmCache, log eventi Sicurezza o Sysmon).
Perché la marca temporale dello ShimCache non corrisponde all'ora di esecuzione?
La marca temporale mostrata è la data di ultima modifica del file ($STANDARD_INFORMATION), non l'ora di esecuzione. Un binario copiato senza modificare i timestamp mostra il proprio mtime originale. Considera lo ShimCache un artefatto di «esistenza di un programma», non una timeline di esecuzione.
Le voci dello ShimCache possono essere eliminate o manomesse?
Sì. Lo ShimCache risiede in memoria e viene scritto nella hive SYSTEM solo all'arresto: un riavvio forzato può far perdere le voci recenti. Strumenti anti-forensi e la modifica del registro possono anche svuotarlo o alterarlo. Conferma sempre con AmCache, Prefetch e i log eventi.
Qual è la differenza tra ShimCache e AmCache?
Lo ShimCache si trova in HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache e memorizza fino a 1.024 voci percorso + mtime. AmCache (Amcache.hve) è un database separato che traccia i programmi installati e i file recentemente eseguiti con hash SHA-1 e metadati molto più ricchi. I due artefatti si completano nelle timeline forensi.

Hai un hive SYSTEM a portata di mano?

Trascinalo qui e vedi ogni eseguibile annotato da Windows, in pochi secondi, senza che il file lasci il tuo computer.