Análises aprofundadas do AppCompatCache do Windows, AmCache, Prefetch e dos demais artefatos de execução de programas.
A disposição binária da AppCompatCache mudou em quase todas as releases do Windows. Esta é uma referência por versão dos formatos antigos (XP, Server 2003, Vista/2008, Windows 7 e 8) e dos valores magic que os identificam.
Ler artigo →Sim, e é exatamente por isso que importa. A ShimCache mantém rotineiramente entradas para executáveis que já não existem em disco. Eis porquê, durante quanto tempo sobrevivem, e como usar entradas de ficheiros apagados como prova.
Ler artigo →Ferramentas de execução remota deixam uma pegada reconhecível na ShimCache tanto no host de origem como no de destino. Um guia prático para usar a AppCompatCache na reconstrução de lateral movement num parque Windows.
Ler artigo →O timestamp numa entrada da ShimCache é o tempo da última modificação do ficheiro, não o momento em que o programa correu. Eis exatamente o que o valor é, porque induz em erro os investigadores e como o usar corretamente.
Ler artigo →O Prefetch regista execução; a ShimCache regista que o Windows examinou um ficheiro. Respondem a perguntas diferentes com fiabilidades diferentes. Um cabeça a cabeça prático para investigadores.
Ler artigo →A ShimCache pode ser adulterada, mas raramente de forma limpa. Este artigo cataloga como os atacantes tentam apagar ou modificar entradas da shimcache, e os indícios forenses que os investigadores podem usar para o detetar.
Ler artigo →Como a ShimCache do Windows só é descarregada para o registo no shutdown, um dump de memória contém frequentemente entradas que a hive em disco não tem. Este guia cobre a extração com o Volatility e com o Velociraptor.
Ler artigo →Uma timeline que funde a ShimCache, a AmCache, o Prefetch e os dados BAM da hive SYSTEM é a espinha dorsal da maior parte dos relatórios de IR no Windows. Este guia percorre a sua construção de ponta a ponta.
Ler artigo →Um workflow prático para usar a ShimCache do Windows para fazer emergir binários suspeitos durante threat hunting e resposta a incidentes: o que procurar, como triar acertos e como corroborá-los.
Ler artigo →Os atores de ransomware apagam rotineiramente as suas ferramentas, encriptam e limpam, e reiniciam para cobrir rastos. A ShimCache é um dos poucos artefactos que ainda responde a perguntas básicas depois disso. Eis como o usar.
Ler artigo →Um guia prático para extrair a hive de registo SYSTEM do Windows (e os seus logs de transação) para análise forense offline: a partir de um disco morto, de um sistema vivo ou de uma imagem de memória.
Ler artigo →Quatro ferramentas abertas dominam o parsing offline de ShimCache, cada uma com forças diferentes. Uma comparação prática para escolher a certa para o seu workflow.
Ler artigo →Uma referência lado a lado dos cinco artefactos do Windows mais úteis para provar execução de programas (Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM) com a sua fiabilidade e limitações.
Ler artigo →Uma entrada na ShimCache é regularmente confundida com prova de que um binário correu. A verdade é mais matizada: aqui está o que a cache regista de facto e como confirmar execução corretamente.
Ler artigo →A ShimCache e a AmCache exibem ambas evidências de execução de programas no Windows, mas registam coisas diferentes, em momentos diferentes, com fiabilidade diferente. Uma comparação prática para investigadores forenses.
Ler artigo →A ShimCache do Windows reside num único valor de registo mas só é persistida no shutdown. Compreender o caminho de armazenamento e o tempo de escrita muda a forma como os investigadores lidam com prova volátil.
Ler artigo →Um percurso prático pela disposição binária da AppCompatCache no Windows 10 e 11: bytes de cabeçalho, magic por entrada, codificação de caminho e os offsets que um parser tem de acertar.
Ler artigo →Uma introdução prática à ShimCache do Windows: onde reside, o que regista e como os investigadores forenses a usam para provar a existência de programas.
Ler artigo →