Blog Shimcache e forense Windows

Il layout binario dell'AppCompatCache è cambiato a quasi ogni versione di Windows. Ecco un riferimento per versione dei formati più vecchi — XP, Server 2003, Vista/2008, Windows 7 e 8 — e i valori magici che li identificano.

Sì — ed è esattamente per questo che conta. Lo ShimCache conserva regolarmente voci per eseguibili che non esistono più su disco. Ecco perché, quanto sopravvivono e come usare le voci di file eliminati come prova.

Gli strumenti di esecuzione remota lasciano un'impronta ShimCache riconoscibile sia sull'host sorgente sia su quello destinazione. Guida pratica per ricostruire il movimento laterale in un parco Windows con l'AppCompatCache.

La marca temporale di una voce ShimCache è la data di ultima modifica del file — non quando il programma è stato eseguito. Ecco esattamente cos'è quel valore, perché trae in inganno gli investigatori e come usarlo correttamente.

Il Prefetch registra l'esecuzione; lo ShimCache registra che Windows ha esaminato un file. Rispondono a domande diverse con affidabilità diversa. Confronto diretto per gli investigatori.

Lo ShimCache può essere manomesso — ma raramente in modo pulito. Questo post cataloga ciò che gli attaccanti tentano e i segnali forensi che gli investigatori possono usare per individuarlo.

Poiché lo ShimCache di Windows viene flushato nel registro solo allo spegnimento, un dump di memoria spesso contiene voci che la hive su disco non ha. Questa guida copre l'estrazione con Volatility e Velociraptor.

Una timeline che fonde ShimCache, AmCache, Prefetch e i dati BAM della hive SYSTEM è la spina dorsale della maggior parte dei report IR Windows. Questa guida la assembla dall'inizio alla fine.

Un workflow pratico per usare lo ShimCache di Windows nel threat hunting e nella incident response — cosa cercare, come triare gli hit e come corroborarli.

Gli operatori ransomware cancellano sistematicamente i loro tool, cifrano e ripuliscono, e riavviano per coprire le tracce. Lo ShimCache è uno dei pochi artefatti che continua a rispondere alle domande basilari dopo tutto questo. Ecco come usarlo.

Guida pratica per estrarre la hive di registro SYSTEM (e i suoi log di transazione) per l'analisi forense offline — da un disco spento, da un sistema in esecuzione o da un'immagine di memoria.

Quattro strumenti aperti dominano il parsing offline dello ShimCache — ciascuno con i suoi punti forti. Confronto pratico per scegliere quello giusto per il tuo workflow.

Riferimento affiancato dei cinque artefatti Windows più utili per provare l'esecuzione di un programma — Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM — con la loro affidabilità e i loro limiti.

Una voce nello ShimCache viene regolarmente scambiata per prova dell'esecuzione di un binario. La verità è più sfumata — ecco cosa registra davvero la cache e come confermare correttamente l'esecuzione.

ShimCache e AmCache forniscono entrambi prove di esecuzione di programmi su Windows, ma registrano cose diverse, in momenti diversi, con affidabilità diversa. Confronto pratico per gli investigatori forensi.

Lo ShimCache di Windows vive in un singolo valore del registro ma viene persistito solo allo spegnimento. Capire il suo percorso di archiviazione e i tempi di scrittura cambia il modo in cui gli investigatori trattano queste prove volatili.

Una panoramica pratica del layout binario dell'AppCompatCache su Windows 10 e 11 — byte di intestazione, magic per voce, codifica del percorso e gli offset che un parser deve gestire correttamente.

Un'introduzione pratica allo ShimCache di Windows: dove risiede, cosa registra e come gli investigatori forensi lo usano per dimostrare l'esistenza di un programma.