pt

Forense do Windows AppCompatCache

Analise o Shimcache do Windows no seu navegador.

Solte uma hive de registro SYSTEM e extraia instantaneamente cada entrada do AppCompatCache — caminho do arquivo, data de modificação, formato do sistema — sem nunca enviar o arquivo.

  • Nada é enviado
  • Parser em Rust + WebAssembly
  • Do Windows XP ao 11

Solte uma hive SYSTEM aqui

ou clique para procurar

Também aceita uma coleção ZIP de triagem (KAPE, Velociraptor…) ou uma pasta inteira

Hive SYSTEM sintética de uma intrusão fictícia — sem dados reais.

Como obter seus dados

Nunca coletou uma hive SYSTEM? Escolha o primeiro método que servir: um comando e depois solte o arquivo aqui.

  1. Colete a hive SYSTEM
  2. Solte aqui o arquivo, a pasta ou o ZIP
  3. Analisado no seu navegador — nada é enviado

Execute como administrador (clique com o botão direito em Prompt de Comando ou PowerShell → Executar como administrador). Nativo do Windows — nada para instalar.

Prompt de Comando (admin)
mkdir C:\triage 2>nul & reg save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y
PowerShell (admin)
New-Item -ItemType Directory -Force -Path C:\triage | Out-Null; reg.exe save HKLM\SYSTEM C:\triage\SYSTEM.hiv /y

Cria C:\triage\SYSTEM.hiv — solte só esse arquivo. O reg save grava uma cópia limpa e consistente da hive ativa, então os logs de transação não são necessários.

Armadilhas

  • O arquivo SYSTEM ativo fica bloqueado: um copy simples falha, e algumas ferramentas geram sem aviso um arquivo cheio de zeros. Use reg save ou uma ferramenta de cópia bruta.
  • Aqui os logs não são reaplicados: uma cópia bruta de uma hive ativa pode perder gravações recentes. Reaplique antes SYSTEM.LOG1 / SYSTEM.LOG2, ou use reg save.
  • O Windows só grava o cache no registro ao desligar ou reiniciar: execuções desde o último boot existem apenas na memória (capture a RAM, ex.: Volatility windows.shimcachemem).
Guia completo de aquisição →

Tudo é executado localmente. Sua hive nunca sai desta página.

O que você recebe

Tudo o que a ShimCache guarda, sem ferramentas pesadas

  • Todos os ControlSets

    ControlSet001, 002 e outros são analisados e identificados, com o conjunto ativo marcado, para não perder entradas que só sobrevivem no conjunto de backup.

  • Do Windows XP ao 11

    Os formatos de cache do XP, Server 2003, Vista/7 (x86 e x64), 8, 8.1, 10 e 11 são detectados automaticamente.

  • Triagem de suspeitos

    Ferramentas ofensivas conhecidas e caminhos graváveis pelo usuário ou de staging são sinalizados, para ler primeiro as linhas que importam.

  • Exportação CSV e JSON

    Leve a visão filtrada para sua linha do tempo, planilha ou SIEM, com ControlSet e formato em cada linha.

  • Coleções de triagem

    Solte um ZIP do KAPE ou Velociraptor, ou uma pasta inteira: a hive SYSTEM e sua cópia RegBack são encontradas para você, e todo o resto é explicado. Logs de transação são indicados, não reaplicados.

  • Privado por design

    O parser em Rust roda como WebAssembly na aba do navegador. Nada é enviado, registrado ou armazenado em servidor.

Como funciona

Da hive à linha do tempo em três passos

  1. 01

    Colete a hive SYSTEM

    Copie C:\Windows\System32\config\SYSTEM com KAPE, FTK Imager ou reg save, ou a partir de uma imagem montada.

  2. 02

    Solte aqui

    O arquivo é lido localmente e analisado por WebAssembly em um worker, normalmente em bem menos de um segundo.

  3. 03

    Triagem e exportação

    Ordene, filtre e revise os caminhos sinalizados; depois exporte CSV ou JSON para as notas do caso.

FAQ

Forense do Shimcache — perguntas frequentes

Respostas rápidas para as perguntas mais comuns ao analisar o AppCompatCache do Windows.

O que é o ShimCache do Windows (AppCompatCache)?
O ShimCache, também chamado AppCompatCache, é um recurso do Windows que rastreia os executáveis que o sistema operacional examinou para a compatibilidade de aplicativos (shimming). Armazena até 1.024 entradas por sistema, incluindo o caminho do arquivo e o carimbo de data/hora da última modificação. Investigadores o usam como evidência de que um binário existiu em uma máquina — mesmo após a exclusão do arquivo.
Uma entrada do ShimCache prova que um programa foi executado?
Não. O ShimCache registra arquivos que o Windows examinou, o que muitas vezes — mas nem sempre — implica execução. No Windows 10 e 11, o sinalizador de execução no cache foi removido: artefatos complementares (Prefetch, AmCache, logs de eventos de Segurança ou Sysmon) são necessários para confirmar uma execução real.
Por que o carimbo de hora do ShimCache não corresponde ao momento da execução?
O carimbo de hora exibido é a data de última modificação do arquivo ($STANDARD_INFORMATION), não o horário de execução. Um binário copiado sem alterar os timestamps mostrará seu mtime original. Trate o ShimCache como um artefato de «existência de programa», não uma linha do tempo de execução.
Entradas do ShimCache podem ser apagadas ou adulteradas?
Sim. O ShimCache fica em memória e só é gravado na hive SYSTEM no desligamento — uma reinicialização forçada pode perder entradas recentes. Ferramentas antiforenses e edição do registro também podem limpá-lo ou modificá-lo. Sempre corrobore com AmCache, Prefetch e logs de eventos.
Qual é a diferença entre ShimCache e AmCache?
O ShimCache fica em HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache e armazena até 1.024 entradas caminho + mtime. AmCache (Amcache.hve) é um banco de dados separado que rastreia programas instalados e arquivos executados recentemente com hashes SHA-1 e metadados muito mais ricos. Os dois artefatos se complementam em linhas do tempo forenses.

Tem uma hive SYSTEM em mãos?

Solte-a aqui e veja cada executável anotado pelo Windows, em segundos, sem que o arquivo saia da sua máquina.