TL;DR. Atores de ransomware apagam ferramentas e reiniciam. A ShimCache costuma sobreviver a isso, preservando caminhos de droppers e ferramentas de staging anteriores à encriptação. Extraia a hive SYSTEM mais um dump de RAM se o host não tiver sofrido um clean reboot, e depois corrobore com a AmCache para atribuição baseada em hash.
Investigações de ransomware são forense contra o vento. Discos cifrados, ferramentas apagadas, por vezes logs de eventos limpos, e um incentivo do atacante para reiniciar. A ShimCache é um dos poucos artefactos que ainda responde a perguntas básicas nesse ambiente. Este é o playbook tático que uso.
O que a ShimCache normalmente preserva
Num engajamento típico de ransomware, no momento em que chega:
- O binário encryptor já desapareceu, geralmente. Apagado por si próprio ou por um script de limpeza.
- O diretório Prefetch pode ter sido limpo se o atacante se lembrou.
- Os logs EVTX por vezes estão truncados. O Event ID 1102 é o indício famoso.
- A AmCache persiste. Escreve continuamente e carrega hashes SHA-1.
- A ShimCache guarda o que foi descarregado no último clean shutdown. Frequentemente o dropper e as ferramentas de staging que correram no início da intrusão.
Como a cache só descarrega no shutdown (detalhes), o estado mais útil costuma vir de uma imagem de memória do sistema comprometido em execução antes do reboot. Se o sistema já foi reiniciado, a hive em disco continua a dar-lhe tudo o que foi persistido até esse ponto. A extração de memória está coberta em extrair a ShimCache de um dump de memória.
As três perguntas que a ShimCache ajuda a responder
1. O que correu antes da encriptação? Ordene por mtime e ande para trás a partir da janela suspeita de encriptação. Caminhos de dropper em \Temp\, \AppData\ ou \ProgramData\ aparecem com regularidade. Cruze com a AmCache para hashes SHA-1. Veja ShimCache vs AmCache.
2. Onde mais pivotaram? A ShimCache captura executáveis em volumes anexados. Acertos em caminhos UNC (\\?\UNC\) ou letras de unidade invulgares apontam para a infraestrutura de lateral movement: o servidor de ficheiros a partir do qual fizeram staging, o diretório partilhado de ferramentas de admin, o volume de backup que tentaram limpar. O USN journal e a MFT confirmam frequentemente as escritas.
3. Quais foram as ferramentas de staging? PsExec, WMIExec, mimikatz, beacons do Cobalt Strike, instaladores AnyDesk e TeamViewer, loaders à medida. Todos deixam rastos na ShimCache. A maioria dos playbooks de ransomware reutiliza os mesmos nomes de ferramentas; uma varredura contra a sua lista padrão de indicadores de ransomware apanha-os depressa.
Um workflow curto
- Adquira a hive SYSTEM mais o seu
SYSTEM.LOG1eSYSTEM.LOG2emC:\Windows\System32\config\. Num host em execução, capture memória também. Veja aquisição e extração de memória. - Analise para uma tabela
(path, mtime, format). O Shimcache Parser mantém a hive offline no seu browser. - Filtre por assinaturas de playbook de ransomware: nomes de encryptor, instaladores RMM (AnyDesk, ScreenConnect, Splashtop), ferramentas de credenciais, utilitários de arquivo (
7z,winrar,rar.exe) usados para staging de exfiltração, artefactos de histórico de browser se o atacante descarregou ferramentas interativamente. - Triage com o workflow de caça a malware.
- Construa uma timeline combinando ShimCache, AmCache, Prefetch e logs de eventos. O artigo de timeline percorre as ferramentas.
- Atenção a adulteração. Uma ShimCache suspeitamente curta ou vazia num host comprometido é, por si só, um indicador. Veja deteção de anti-forense.
Não exagere
Provas da ShimCache em relatórios de ransomware são escrutinadas por seguradoras, jurídico e equipas de threat intel. Seja preciso:
- Um acerto da ShimCache em
encryptor.exeprova que o ficheiro esteve em disco a dado momento. Não prova que esse ficheiro foi o que fez a encriptação (a ressalva da prova de execução). - O mtime é a hora da última modificação do ficheiro. Não é a hora em que o ransomware correu.
- Corrobore sempre com o SHA-1 da AmCache para atribuição baseada em hash.
- Se o bitlocker ou o BCD foi limpo, hives de registo e o pagefile por vezes ainda contêm migalhas úteis.
Leitura adicional
Windows.Registry.AppCompatCachedo Velociraptor, recolha à escala em muitos hosts comprometidos.- AppCompatCacheParser de Eric Zimmerman, parsing offline para trabalho de caso.
- ShimCache & AmCache forensic analysis de Mehrnoush, descrição estendida de IR.
- MITRE ATT&CK T1486 Data Encrypted for Impact, contexto para a fase de encriptação.