Shimcache と Windows フォレンジック ブログ

AppCompatCache のバイナリレイアウトは Windows のほぼ全リリースで変化してきました。これは XP、Server 2003、Vista/2008、Windows 7、8 など古いフォーマットと、それらを識別するマジック値のバージョン別リファレンスです。

はい、そしてそれこそが重要な理由です。ShimCache はディスク上にもう存在しない実行ファイルのエントリを日常的に保持します。なぜ、どのくらい長く生存し、削除ファイルエントリを証拠としてどう使うかを解説します。

リモート実行ツールは送信元と送信先の両方のホストに認識可能な ShimCache フットプリントを残します。これは AppCompatCache を使って Windows 資産全体のラテラルムーブメントを再構築する実践ガイドです。

ShimCache エントリのタイムスタンプはファイルの最終更新時刻であり、プログラムが実行された時刻ではありません。値が正確に何であるか、なぜ調査員を惑わすか、そして正しく使う方法を解説します。

Prefetch は実行を記録し、ShimCache は Windows がファイルを検査したことを記録します。両者は異なる問いに異なる信頼性で答えます。調査員のための実践的な対比です。

ShimCache は改ざんされる可能性があります。ただし、きれいにはできません。攻撃者が shimcache エントリを消去または変更しようとする方法と、調査員がそれを見破るためのフォレンジック上の手がかりをカタログ化します。

Windows ShimCache はシャットダウン時にのみレジストリにフラッシュされるため、メモリダンプはディスク上のハイブにないエントリを保持していることがよくあります。このガイドは Volatility と Velociraptor による抽出をカバーします。

ShimCache、AmCache、Prefetch、SYSTEM ハイブの BAM データを統合したタイムラインは、ほとんどの Windows IR レポートの背骨です。このガイドはエンドツーエンドの組み立て方を解説します。

脅威ハンティングとインシデント対応で Windows ShimCache を使って疑わしいバイナリを浮上させるための実践的ワークフロー。何を探すべきか、ヒットをどうトリアージするか、どう裏付けるか。

ランサムウェアの攻撃者は日常的にツールを削除し、暗号化と消去を行い、痕跡を隠すために再起動します。ShimCache はその後でも基本的な質問に答えられる数少ないアーティファクトの 1 つです。使い方を解説します。

オフラインのフォレンジック解析のために Windows SYSTEM レジストリハイブ（とそのトランザクションログ）を抽出する実践的なガイドです。デッドディスク、稼働システム、メモリイメージから取得します。

オフラインの ShimCache 解析を主導する 4 つのオープンソースツール。それぞれ異なる強みを持ちます。ワークフローに合わせて正しいものを選ぶための実践的な比較です。

プログラム実行を立証するのに最も有用な 5 つの Windows アーティファクト（Prefetch、AmCache、ShimCache、UserAssist、BAM/DAM）の信頼性と限界を並べて比較するリファレンスです。

ShimCache エントリはバイナリが動いた証拠と誤解されがちです。真実はもっと微妙です。キャッシュが実際に記録するものと、実行を正しく確認する方法を解説します。

ShimCache と AmCache は両方とも Windows 上でプログラム実行の証拠を浮上させますが、記録する内容、書き込みのタイミング、信頼性はそれぞれ異なります。フォレンジック調査員のための実践的な比較です。

Windows ShimCache は単一のレジストリ値に存在しますが、シャットダウン時にのみ永続化されます。保存パスと書き込みタイミングを理解することで、揮発性証拠の扱い方が変わります。

Windows 10 と 11 の AppCompatCache バイナリレイアウトを実践的に解説します。ヘッダバイト、エントリごとのマジック、パスエンコーディング、そしてパーサが正しく扱う必要のあるオフセット。

Windows ShimCache の実践的入門。どこに存在し、何を記録し、フォレンジック調査員がプログラムの存在をどのように立証するかを解説します。