TL;DR. Gli strumenti di movimento laterale (PsExec, wmic, at / schtasks, PowerShell remoto) lasciano voci ShimCache sull'host destinazione (il binario di servizio rilasciato) e spesso sulla sorgente. Fare diff dell'AppCompatCache su molti host fa emergere il percorso che l'attaccante ha preso.
Lo ShimCache è solitamente inquadrato come artefatto mono-host. Il suo vero potere in incident response è cross-host. Lo stesso tooling, esaminato per compatibilità su ogni macchina che tocca, lascia una traccia correlabile. Ecco come lo uso davvero per ricostruire il movimento laterale.
Come appare il movimento laterale nella cache
Le tecniche di esecuzione remota rilasciano o invocano un eseguibile sulla destinazione. Ciascuna lascia un percorso caratteristico.
| Tecnica | Indizio ShimCache lato destinazione |
|---|---|
| PsExec / SMB service exec | C:\Windows\PSEXESVC.exe o un binario di servizio casuale di 8 caratteri in C:\Windows\ |
sc \\host create | Binario di servizio nominato dall'attaccante, spesso in C:\Windows\ o \PerfLogs\ |
WMI (wmic process call create) | Percorso del payload sotto C:\Windows\Temp\ o una directory scrivibile dall'utente |
Task pianificato (schtasks /s) | Binario di azione del task, frequentemente C:\Users\Public\ |
| PowerShell remoto / WinRM | powershell.exe più qualsiasi .exe rilasciato che ha stagiato |
Impacket smbexec / wmiexec | .bat e .exe con nomi casuali sotto \Windows\Temp\ |
Un binario di servizio con un nome casuale in C:\Windows\ è uno dei findings ShimCache con il più alto segnale che esistano. Trattato come regola di triage in cacciare malware con lo ShimCache.
Il lato host sorgente
L'host originario mostra frequentemente voci ShimCache per il tooling d'attacco stesso: PsExec.exe, wmic.exe usato interattivamente, un mover personalizzato, un loader di framework post-exploitation. Accoppiare "strumento su host A" con "binario di servizio su host B" entro una finestra plausibile è il cuore dell'inferenza di movimento laterale.
Incrocia con le connessioni di rete Sysmon Event ID 3 e Security 4624 logon tipo 3 per chiudere il cerchio. Il parser EVTX copre gli Event ID rilevanti.
Il workflow di diff cross-host
- Raccogli gli hive SYSTEM da ogni host in scope. Vedi acquisire un hive SYSTEM. O usa Velociraptor per la raccolta su flotta.
- Parsa ciascuno ed esporta in CSV. L'AppCompatCacheParser di Eric Zimmerman è la risposta giusta per il lavoro in batch.
- Normalizza i percorsi e fai diff per binari condivisi e insoliti. Lo stesso nome di servizio casuale o percorso di staging che appare su più host è il percorso del movimento.
- Ordina gli host per ordine di inserimento, non per timestamp. Il timestamp è la mtime del file, non un tempo di evento, quindi non sequenzia da solo i salti.
- Conferma ogni salto con Security 4624 (logon tipo 3), 4648 (credenziali esplicite), 7045 (installazione servizio), e AmCache per l'attribuzione SHA-1.
Si fonde in modo naturale in una timeline di esecuzione programmi completa. Mappa le tecniche su ATT&CK T1021 (Remote Services) e T1570 (Lateral Tool Transfer) per il reporting.
Avvertenze
Lo ShimCache si svuota solo a uno shutdown pulito, quindi un host ancora in esecuzione potrebbe non aver ancora scritto la voce decisiva. Controlla la memoria (estrazione da un dump di memoria) prima di concludere che un host non sia stato toccato. Il timestamp non sequenzia mai i salti da solo; affidati all'ordine di inserimento più EVTX e il journal USN per i tempi degli eventi. Gli attaccanti che ripuliscono il valore lasciano il proprio indizio. Vedi anti-forense dello ShimCache.
Per fare diff degli hive rapidamente, parsa ciascuno con lo Shimcache Parser e confronta lato client. L'export CSV dello strumento di EZ alimenta direttamente pandas o csvdiff per set più grandi.
Letture aggiuntive
- MITRE ATT&CK Remote Services (T1021). referenza della tecnica per gli indizi lato destinazione.
- Caching Out the Val di Mandiant. tradecraft fondante dello ShimCache.
- Detecting Lateral Movement through Tracking Event Logs di JPCERT/CC. si accoppia naturalmente con il lato EVTX dell'analisi.