Blog Shimcache e forense Windows

Il layout binario dell'AppCompatCache è cambiato a quasi ogni release di Windows. Questa è una referenza per versione dei formati più vecchi: XP, Server 2003, Vista/2008, Windows 7 e 8, e i valori magic che li identificano.

Sì, ed è esattamente per questo che conta. Lo ShimCache mantiene di routine voci per eseguibili che non esistono più su disco. Ecco perché, quanto sopravvivono, e come usare le voci di file cancellati come prova.

Gli strumenti di esecuzione remota lasciano un'impronta riconoscibile nello ShimCache sia sull'host sorgente sia sulla destinazione. Questa è una guida pratica per usare l'AppCompatCache per ricostruire il movimento laterale in un parco Windows.

Il timestamp di una voce ShimCache è l'ora di ultima modifica del file, non quando il programma è stato eseguito. Ecco esattamente cosa è il valore, perché trae in inganno gli investigatori e come usarlo correttamente.

Prefetch registra l'esecuzione; ShimCache registra che Windows ha esaminato un file. Rispondono a domande diverse con affidabilità diverse. Un confronto pratico per gli investigatori.

Lo ShimCache può essere manipolato, ma raramente in modo pulito. Questo post cataloga come gli attaccanti cercano di cancellare o modificare le voci dello shimcache, e gli indizi forensi che gli investigatori possono usare per individuarlo.

Poiché lo ShimCache di Windows viene scaricato nel registro solo allo shutdown, un dump di memoria contiene spesso voci che l'hive su disco non ha. Questa guida copre l'estrazione con Volatility e Velociraptor.

Una timeline che fonde ShimCache, AmCache, Prefetch e i dati BAM dell'hive SYSTEM è la spina dorsale della maggior parte dei report IR Windows. Questa guida percorre la costruzione end-to-end.

Un workflow pratico per usare lo ShimCache di Windows per far emergere binari sospetti durante il threat hunting e la risposta agli incidenti: cosa cercare, come triagiare i hit e come confermarli.

Gli attori ransomware cancellano di routine i loro strumenti, cifrano e ripuliscono, e riavviano per coprire le tracce. Lo ShimCache è uno dei pochi artefatti che ancora risponde a domande basilari dopo tutto questo. Ecco come usarlo.

Una guida pratica per estrarre l'hive di registro SYSTEM di Windows (e i suoi log di transazione) per l'analisi forense offline: da un disco morto, da un sistema vivo o da un'immagine di memoria.

Quattro strumenti aperti dominano il parsing offline dello ShimCache, ognuno con punti di forza diversi. Un confronto pratico per scegliere quello giusto per il tuo workflow.

Un confronto fianco a fianco dei cinque artefatti Windows più utili per provare l'esecuzione di programmi: Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM, con la loro affidabilità e i loro limiti.

Una voce dello ShimCache viene scambiata regolarmente come prova che un binario sia stato eseguito. La verità è più sfumata. Ecco cosa la cache registra davvero e come confermare correttamente l'esecuzione.

ShimCache e AmCache fanno emergere entrambi prove di esecuzione di programmi su Windows, ma registrano cose diverse, in momenti diversi, con affidabilità diverse. Un confronto pratico per gli investigatori forensi.

Lo ShimCache di Windows vive in un singolo valore di registro ma viene persistito solo allo shutdown. Capire il suo percorso di memorizzazione e il timing di scrittura cambia il modo in cui gli investigatori gestiscono le prove volatili.

Un percorso pratico nel layout binario dell'AppCompatCache di Windows 10 e 11: byte di header, magic per voce, codifica dei percorsi, e gli offset che un parser deve azzeccare.

Un'introduzione pratica al ShimCache di Windows: dove vive, cosa registra e come gli investigatori forensi lo usano per provare l'esistenza di un programma.