TL;DR. ランサムウェアの攻撃者はツールを削除し再起動します。ShimCache はしばしばそれを生き残り、暗号化前のドロッパーパスとステージングツールを保存します。ホストがクリーンに再起動されていないなら SYSTEM ハイブと RAM ダンプ を引き、ハッシュベースの帰属には AmCache で裏付けてください。
ランサムウェア調査は風に向かうフォレンジックです。暗号化されたディスク、削除されたツール、時には消去されたイベントログ、そして再起動するインセンティブを持つ攻撃者。ShimCache はその環境で基本的な質問に答えられる数少ないアーティファクトの 1 つです。私が使う戦術的なプレイブックです。
ShimCache が通常保存するもの
典型的なランサムウェア対応では、到着するまでに：
- 暗号化バイナリはたいてい消えています。自身またはクリーンアップスクリプトによって。
- 攻撃者がそう考えていれば、Prefetch ディレクトリは消去されているかもしれません。
- EVTX ログが切り捨てられていることがあります。Event ID 1102 が有名な目印です。
- AmCache は持続します。継続的に書き込み、SHA-1 ハッシュを保持します。
- ShimCache は前回のクリーンシャットダウン時にフラッシュされたものを保持します。しばしば侵入の早期に実行されたドロッパーとステージングツールです。
キャッシュはシャットダウン時にのみフラッシュされるため（詳細）、最も有用な状態はしばしば再起動前の稼働中の侵害システムのメモリイメージから引かれます。システムがすでに再起動している場合、ディスク上のハイブはその時点で永続化されたすべてを与えてくれます。メモリ抽出は メモリダンプからの ShimCache 抽出 でカバーされています。
ShimCache が答えるのを助ける 3 つの質問
1. 暗号化前に何が実行されたか？ mtime でソートし、疑わしい暗号化ウィンドウから後ろに歩いてください。\Temp\、\AppData\、\ProgramData\ のドロッパーパスが定期的に現れます。SHA-1 ハッシュのために AmCache と相互参照してください。ShimCache と AmCache を参照してください。
2. 他にどこにピボットしたか？ ShimCache は接続されたボリュームの実行ファイルを取り込みます。UNC パス（\\?\UNC\）または異常なドライブレターのヒットは、ラテラルムーブメントのインフラを指し示します：ステージングしたファイルサーバ、共有管理ツールディレクトリ、彼らが消去しようとしたバックアップボリューム。USN ジャーナル と MFT はしばしば書き込みを確認します。
3. ステージングツールは何だったか？ PsExec、WMIExec、mimikatz、Cobalt Strike ビーコン、AnyDesk と TeamViewer のインストーラ、カスタムローダ。すべて ShimCache トレースを残します。大半のランサムウェアプレイブックは同じツール名を再利用するので、標準のランサムウェア指標リストに対するスキャンですぐ捕えられます。
短いワークフロー
- SYSTEM ハイブを取得する とその
SYSTEM.LOG1、SYSTEM.LOG2をC:\Windows\System32\config\から。稼働ホストではメモリもキャプチャしてください。取得 と メモリ抽出 を参照してください。 - 解析する
(path, mtime, format)表に。Shimcache Parser はハイブをブラウザ内でオフラインに保ちます。 - フィルタする ランサムウェアプレイブックシグネチャ：暗号化名、RMM インストーラ（AnyDesk、ScreenConnect、Splashtop）、認証情報ツール、エクスフィルステージングに使われたアーカイブユーティリティ（
7z、winrar、rar.exe）、攻撃者がツールを対話的にダウンロードした場合 ブラウザ履歴 アーティファクト。 - トリアージする マルウェアハンティングワークフロー で。
- タイムラインを構築する ShimCache、AmCache、Prefetch、イベントログを組み合わせて。タイムライン投稿 がツールを解説します。
- 改ざんに注意する。 侵害ホストで疑わしく短いまたは空の ShimCache それ自体が指標です。アンチフォレンジック検出 を参照してください。
過大主張しないでください
ランサムウェアレポートの ShimCache 証拠は保険会社、法律顧問、脅威インテリジェンスチームに精査されます。正確であってください：
encryptor.exeの ShimCache ヒットはファイルがある時点でディスクにあったことを証明します。それが暗号化を実行したファイルであることは証明しません（実行証明の注意点）。- mtime はファイルの最終更新時刻です。ランサムウェアが実行された時刻ではありません。
- ハッシュベースの帰属には常に AmCache SHA-1 で裏付けてください。
- bitlocker や BCD が消去された場合、レジストリハイブ と pagefile は時に有用な痕跡を保持しています。
さらに読む
- Velociraptor の
Windows.Registry.AppCompatCache：多くの侵害ホストをまたいだスケール時の収集。 - Eric Zimmerman の AppCompatCacheParser：案件作業のためのオフライン解析。
- Mehrnoush の ShimCache & AmCache forensic analysis：拡張された IR 解説。
- MITRE ATT&CK T1486 Data Encrypted for Impact：暗号化フェーズのコンテキスト。