it

Usare lo ShimCache nelle indagini ransomware

4 min di lettura

TL;DR. Gli attori ransomware cancellano gli strumenti e riavviano. Lo ShimCache spesso sopravvive a questo, preservando percorsi di dropper e strumenti di staging di prima della cifratura. Tira l'hive SYSTEM più un dump RAM se l'host non è stato riavviato in modo pulito, poi conferma con AmCache per l'attribuzione basata su hash.

Le indagini ransomware sono forense controvento. Dischi cifrati, strumenti cancellati, a volte log eventi troncati, e un incentivo per l'attaccante a riavviare. Lo ShimCache è uno dei pochi artefatti che risponde ancora a domande basilari in questo ambiente. Questo è il playbook tattico che uso.

Cosa lo ShimCache tipicamente preserva

In un ingaggio ransomware tipico, quando arrivi:

  • Il binario encryptor di solito è sparito. Cancellato da sé o da uno script di pulizia.
  • La directory Prefetch può essere stata ripulita se l'attaccante ci ha pensato.
  • I log EVTX sono a volte troncati. L'Event ID 1102 è l'indizio famoso.
  • AmCache persiste. Scrive in continuo e porta hash SHA-1.
  • Lo ShimCache contiene ciò che è stato scaricato all'ultimo shutdown pulito. Frequentemente il dropper e gli strumenti di staging che hanno girato presto nell'intrusione.

Poiché la cache si svuota solo allo shutdown (dettagli), lo stato più utile è spesso tirato da un'immagine di memoria del sistema compromesso in esecuzione prima del reboot. Se il sistema è già riavviato, l'hive su disco ti dà comunque tutto ciò che era persistito a quel punto. L'estrazione dalla memoria è trattata in estrarre lo ShimCache da un dump di memoria.

Le tre domande a cui lo ShimCache aiuta a rispondere

1. Cosa ha girato prima della cifratura? Ordina per mtime e cammina all'indietro dalla finestra di cifratura sospetta. Percorsi di dropper in \Temp\, \AppData\ o \ProgramData\ compaiono di regola. Incrocia con AmCache per hash SHA-1. Vedi ShimCache vs AmCache.

2. Dove altro hanno pivotato? Lo ShimCache cattura eseguibili sui volumi collegati. Hit su percorsi UNC (\\?\UNC\) o lettere di drive insolite puntano all'infrastruttura di movimento laterale: il file server da cui hanno fatto staging, la directory condivisa degli strumenti admin, il volume di backup che hanno provato a ripulire. Il journal USN e la MFT spesso confermano le scritture.

3. Quali erano gli strumenti di staging? PsExec, WMIExec, mimikatz, beacon Cobalt Strike, installer AnyDesk e TeamViewer, loader personalizzati. Tutti lasciano tracce nello ShimCache. La maggior parte dei playbook ransomware riutilizza gli stessi nomi di strumenti; una scansione contro la tua lista standard di indicatori ransomware li becca in fretta.

Un workflow breve

  1. Acquisisci l'hive SYSTEM più i suoi SYSTEM.LOG1 e SYSTEM.LOG2 da C:\Windows\System32\config\. Su un host vivo, cattura anche la memoria. Vedi acquisizione e estrazione dalla memoria.
  2. Parsa a una tabella (path, mtime, format). Lo Shimcache Parser tiene l'hive offline nel tuo browser.
  3. Filtra per firme da playbook ransomware: nomi di encryptor, installer RMM (AnyDesk, ScreenConnect, Splashtop), strumenti di credenziali, utility di archiviazione (7z, winrar, rar.exe) usate per lo staging di esfiltrazione, artefatti di browser history se l'attaccante ha scaricato strumenti interattivamente.
  4. Triage con il workflow di caccia al malware.
  5. Costruisci una timeline combinando ShimCache, AmCache, Prefetch e log eventi. Il post sulla timeline percorre il tooling.
  6. Sorveglia la manipolazione. Uno ShimCache sospettosamente corto o vuoto su un host compromesso è di per sé un indicatore. Vedi rilevamento anti-forense.

Non esagerare

Le prove ShimCache nei report ransomware vengono scrutate da assicuratori, consulenza legale e team di threat intel. Sii preciso:

  • Un hit ShimCache su encryptor.exe dimostra che il file era su disco a un certo punto. Non dimostra che il file fosse quello che ha cifrato (il caveat di prova di esecuzione).
  • La mtime è il tempo di ultima modifica del file. Non quando è girato il ransomware.
  • Conferma sempre con SHA-1 di AmCache per l'attribuzione basata su hash.
  • Se BitLocker o BCD sono stati ripuliti, gli hive del registro e il pagefile a volte conservano ancora briciole utili.

Letture aggiuntive

Articoli correlati