Amcache ve ShimCache, Windows’un eski uygulamaları yeni sürümlerde uyumlu çalıştırmak için tuttuğu iki kayıt yapısıdır; ikisi de bir çalıştırılabilir dosyanın sistemde bulunduğuna, çoğu zaman da çalıştırıldığına dair iz bırakır. ShimCache aslında Application Compatibility Cache’in kısa adıdır ve SYSTEM registry kovanı içinde saklanır; Amcache ise ayrı bir kovan dosyası olan Amcache.hve içinde tutulur. Bir saldırgan diskteki zararlı dosyayı silse bile bu iki yapı, o dosyanın bir zamanlar orada olduğunu ele verebilir.

Amcache ve ShimCache, silinmiş bir çalıştırılabilir dosyanın bile bir zamanlar sistemde bulunduğunu kanıtlayabilen, uygulama uyumluluğu için tutulan iki Windows kayıt artefaktıdır.

İki Artefakt Neyi Kaydeder?

ShimCache her dosya için tam yol, son değiştirilme zamanı ve bazı Windows sürümlerinde bir çalıştırma bayrağı tutar. Dikkat edilmesi gereken nokta, buradaki zaman damgasının dosyanın çalıştırılma anı değil, dosyanın kendi son değiştirilme zamanı olmasıdır; bu ayrımı kaçıran bir inceleme yanlış sonuca varır. Amcache ise daha zengindir: dosyanın SHA-1 özetini, derlenme zamanını, boyutunu ve ilk kez görüldüğü anı barındırır. Bu özet değeri sayesinde bilinen zararlı yazılım imzalarıyla doğrudan eşleştirme yapılabilir.

Adli İncelemede Nasıl Kullanılır?

Bir olayda analist genellikle iki soruya cevap arar: hangi araç çalıştırıldı ve ne zaman. ShimCache, çalıştırma sırasını göreli olarak verdiği için LIFO mantığıyla en son eklenen kayıtları başta gösterir; bu da bir saldırının hangi araçları hangi sırayla getirdiğini kabaca sıralamaya yarar. Amcache’teki ilk görülme zamanı ise mutlak bir zaman damgası sunduğundan, olayın başlangıç anını daraltmak için değerlidir. Her iki kaydı Adli bilişim süreçlerinde ham kovan dosyasından ayrıştırarak okumak, canlı sistemdeki değerlere güvenmekten daha sağlıklıdır.

Bu artefaktların asıl gücü, diğer izlerle birleştirildiğinde ortaya çıkar. Prefetch dosyaları, olay günlükleri ve dosya sistemi zaman damgalarıyla birlikte ele alındığında, tek başına kafa karıştırıcı olabilecek bir kayıt anlamlı bir hikâyeye dönüşür. Bu nedenle Amcache ve ShimCache verileri, bir Zaman çizelgesi analizi içinde diğer kaynaklarla aynı eksene yerleştirilerek yorumlanır.

Sınırları ve Yanılgıları

En yaygın hata, ShimCache’teki bir kaydı doğrudan çalıştırma kanıtı saymaktır. Windows’un bazı sürümlerinde bir dosyanın dizinde listelenmesi bile ona kayıt eklenmesine yeter; yani kayıt, dosyanın görüldüğünü gösterir ama her zaman çalıştırıldığını kanıtlamaz. Amcache biraz daha güvenilir olsa da o da uygulama tarafından mutlaka çalıştırıldığı anlamına gelmeyebilir. Bu yüzden ciddi bir soruşturmada tek bir artefakta dayanılmaz; bulgular çapraz doğrulanır.

• ShimCache: SYSTEM kovanında, dosya yolu ve son değiştirilme zamanı, göreli sıra
• Amcache: Amcache.hve içinde, SHA-1 özeti, derlenme zamanı ve ilk görülme anı
• Ortak değer: silinmiş dosyaların geçmişte var olduğunu gösterme
• Ortak risk: kaydın varlığını her zaman çalıştırma sanmak

Kurumsal tarafta bu artefaktlar, bir ihlalin kapsamını netleştiren ilk kanıtlardan olur. Silinmiş bir aracın özet değerini yakalamak, aynı zararlının başka makinelerde de aranmasını mümkün kılar ve olayın gerçek yayılımını ortaya çıkarır. Bu tür kovan düzeyinde çıkarımların doğru toplanması ve yorumlanması, Privia Security’nin DFIR adli analiz ve olay müdahalesi yaklaşımının çekirdeğindedir; kapsamlı bir inceleme gerektiğinde adli analiz ekibimiz bu verileri diğer sistem izleriyle birlikte değerlendirir.