Análises aprofundadas do AppCompatCache do Windows, AmCache, Prefetch e dos demais artefatos de execução de programas.
O layout binário do AppCompatCache mudou em quase toda versão do Windows. Esta é uma referência por versão dos formatos mais antigos — XP, Server 2003, Vista/2008, Windows 7 e 8 — e os valores mágicos que os identificam.
Ler artigo →Sim — e é exatamente por isso que importa. O ShimCache rotineiramente retém entradas de executáveis que não existem mais em disco. Veja por quê, quanto tempo sobrevivem e como usar entradas de arquivos excluídos como evidência.
Ler artigo →Ferramentas de execução remota deixam uma pegada ShimCache reconhecível tanto no host origem quanto no destino. Guia prático para reconstruir movimento lateral num parque Windows com o AppCompatCache.
Ler artigo →A marca de tempo de uma entrada ShimCache é a data de última modificação do arquivo — não quando o programa foi executado. Veja exatamente o que é esse valor, por que confunde os investigadores e como usá-lo corretamente.
Ler artigo →O Prefetch registra a execução; o ShimCache registra que o Windows examinou um arquivo. Eles respondem a perguntas diferentes com confiabilidade diferente. Comparação direta para investigadores.
Ler artigo →O ShimCache pode ser adulterado — mas raramente de forma limpa. Este post cataloga como atacantes tentam apagar ou modificar entradas, e os indícios forenses que investigadores podem usar para detectá-lo.
Ler artigo →Como o ShimCache do Windows só é gravado no registro no desligamento, um dump de memória frequentemente carrega entradas que a hive em disco não tem. Este guia cobre a extração com Volatility e Velociraptor.
Ler artigo →Uma timeline que funde ShimCache, AmCache, Prefetch e os dados BAM da hive SYSTEM é a espinha dorsal da maioria dos relatórios IR de Windows. Este guia monta uma de ponta a ponta.
Ler artigo →Um fluxo prático para usar o ShimCache do Windows no threat hunting e na resposta a incidentes — o que procurar, como triar os hits e como corroborá-los.
Ler artigo →Atores de ransomware rotineiramente apagam suas ferramentas, criptografam e limpam, e reiniciam para cobrir rastros. O ShimCache é um dos poucos artefatos que ainda responde a perguntas básicas depois disso. Veja como usá-lo.
Ler artigo →Guia prático para extrair a hive de registro SYSTEM (e seus logs de transação) para análise forense offline — de um disco desligado, sistema em execução ou imagem de memória.
Ler artigo →Quatro ferramentas abertas dominam o parsing offline do ShimCache — cada uma com seus pontos fortes. Comparação prática para escolher a certa para seu workflow.
Ler artigo →Referência lado a lado dos cinco artefatos do Windows mais úteis para provar execução de programa — Prefetch, AmCache, ShimCache, UserAssist, BAM/DAM — com sua confiabilidade e limitações.
Ler artigo →Uma entrada no ShimCache é confundida com regularidade com prova de execução de um binário. A verdade é mais sutil — aqui está o que o cache realmente registra e como confirmar a execução corretamente.
Ler artigo →ShimCache e AmCache fornecem evidências de execução de programas no Windows, mas registram coisas diferentes, em momentos diferentes, com confiabilidades diferentes. Comparação prática para investigadores forenses.
Ler artigo →O ShimCache do Windows vive em um único valor do registro mas só é persistido no desligamento. Entender o caminho de armazenamento e o momento da escrita muda como os investigadores tratam essas evidências voláteis.
Ler artigo →Passeio prático pelo layout binário do AppCompatCache no Windows 10 e 11 — bytes de cabeçalho, magic por entrada, codificação do caminho e os offsets que um parser precisa acertar.
Ler artigo →Uma introdução prática ao ShimCache do Windows — onde reside, o que registra e como investigadores forenses o usam para provar a existência de um programa.
Ler artigo →