دو ردپای فارنزیک
🔍 معرفی کلی
این ShimCacheو AmCache بخشی از زیرساخت Application Compatibility ویندوز هستند که برای اجرای برنامه‌های قدیمی روی سیستم‌های جدید طراحی شده‌اند. این آرتیفکت‌ها یا همان ردپا ؛ متادیتای مرتبط با فایل‌های اجرایی و برنامه‌های نصب‌شده را ذخیره می‌کنند و از این رو، منابع مهمی برای تحلیل‌گران فارنزیک محسوب می‌شوند.
🧩مقوله ی AmCache چیست؟
محل ذخیره‌سازی:فایل رجیستری با فرمت REGF در مسیر C:\Windows\AppCompat\Programs\Amcache.hve (در نسخه‌های قدیمی‌تر: C:\AppCompat\Programs\RecentFileCache.bcf)
اطلاعات ذخیره‌شده: متادیتای مرتبط با برنامه‌های نصب‌شده، فایل‌های اجرایی، درایورها و موارد دیگر
محدودیت‌ها:
* هش SHA1 فقط برای فایل‌هایی تا ۳۰ مگابایت محاسبه می‌شود.
* اطلاعاتی مانند آرگومان‌های فرآیند، کاربر اجراکننده یا زمان اجرا را شامل نمی‌شود.
* به دلیل پیچیدگی ساختار، تغییرات متعدد در نسخه‌های مختلف و محدودیت‌های فوق، بهتر است از AmCache به‌عنوان مدرکی برای وجود فایل‌ها استفاده شود، نه اثبات اجرای آن‌ها.
🧩 مقوله ی ShimCache چیست؟
محل ذخیره‌سازی: در رجیستری ویندوز، مسیر HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache
* اطلاعات ذخیره‌شده: مسیر فایل، تاریخ آخرین دسترسی، و در برخی نسخه‌ها، زمان اجرای فایل
محدودیت‌ها:
* عدم وجود هش فایل یا اطلاعات کاربر اجراکننده
* ممکن است شامل فایل‌هایی باشد که هرگز اجرا نشده‌اند (مثلاً فقط مشاهده‌شده‌اند).
* ساختار و فرمت داده‌ها در نسخه‌های مختلف ویندوز متفاوت است.
🛠 ابزارهای تحلیل
برای تحلیل این آرتیفکت‌ها، ابزارهای مختلفی وجود دارند:
* ابزار Cyber Triage: ابزاری تجاری برای جمع‌آوری و تحلیل داده‌های فارنزیک از سیستم‌های ویندوزی.
* ابزار AmCacheParser: ابزاری متن‌باز برای استخراج و تحلیل داده‌های AmCache.
* ابزارAppCompatCacheParser: ابزاری متن‌باز برای تحلیل داده‌های ShimCache.
✅ نکات کلیدی برای تحلیل‌گران
* هر دو آرتیفکت می‌توانند وجود فایل‌ها را حتی پس از حذف آن‌ها از دیسک اثبات کنند.
* هیچ‌کدام به‌تنهایی برای اثبات اجرای یک برنامه کافی نیستند؛ بهتر است با سایر آرتیفکت‌ها مانند Prefetch یا Event Logs ترکیب شوند.
* تغییرات در ساختار این آرتیفکت‌ها در نسخه‌های مختلف ویندوز می‌تواند تحلیل را پیچیده کند؛ بنابراین، آشنایی با نسخه‌های مختلف و ابزارهای مناسب ضروری است.
#آکادمی_روزبه
مبحث جرم شناسی و فارنزیک درس CISSP
🔍 معرفی کلی
این ShimCacheو AmCache بخشی از زیرساخت Application Compatibility ویندوز هستند که برای اجرای برنامه‌های قدیمی روی سیستم‌های جدید طراحی شده‌اند. این آرتیفکت‌ها یا همان ردپا ؛ متادیتای مرتبط با فایل‌های اجرایی و برنامه‌های نصب‌شده را ذخیره می‌کنند و از این رو، منابع مهمی برای تحلیل‌گران فارنزیک محسوب می‌شوند.
🧩مقوله ی AmCache چیست؟
محل ذخیره‌سازی:فایل رجیستری با فرمت REGF در مسیر C:\Windows\AppCompat\Programs\Amcache.hve (در نسخه‌های قدیمی‌تر: C:\AppCompat\Programs\RecentFileCache.bcf)
اطلاعات ذخیره‌شده: متادیتای مرتبط با برنامه‌های نصب‌شده، فایل‌های اجرایی، درایورها و موارد دیگر
محدودیت‌ها:
* هش SHA1 فقط برای فایل‌هایی تا ۳۰ مگابایت محاسبه می‌شود.
* اطلاعاتی مانند آرگومان‌های فرآیند، کاربر اجراکننده یا زمان اجرا را شامل نمی‌شود.
* به دلیل پیچیدگی ساختار، تغییرات متعدد در نسخه‌های مختلف و محدودیت‌های فوق، بهتر است از AmCache به‌عنوان مدرکی برای وجود فایل‌ها استفاده شود، نه اثبات اجرای آن‌ها.
🧩 مقوله ی ShimCache چیست؟
محل ذخیره‌سازی: در رجیستری ویندوز، مسیر HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache
* اطلاعات ذخیره‌شده: مسیر فایل، تاریخ آخرین دسترسی، و در برخی نسخه‌ها، زمان اجرای فایل
محدودیت‌ها:
* عدم وجود هش فایل یا اطلاعات کاربر اجراکننده
* ممکن است شامل فایل‌هایی باشد که هرگز اجرا نشده‌اند (مثلاً فقط مشاهده‌شده‌اند).
* ساختار و فرمت داده‌ها در نسخه‌های مختلف ویندوز متفاوت است.
🛠 ابزارهای تحلیل
برای تحلیل این آرتیفکت‌ها، ابزارهای مختلفی وجود دارند:
* ابزار Cyber Triage: ابزاری تجاری برای جمع‌آوری و تحلیل داده‌های فارنزیک از سیستم‌های ویندوزی.
* ابزار AmCacheParser: ابزاری متن‌باز برای استخراج و تحلیل داده‌های AmCache.
* ابزارAppCompatCacheParser: ابزاری متن‌باز برای تحلیل داده‌های ShimCache.
✅ نکات کلیدی برای تحلیل‌گران
* هر دو آرتیفکت می‌توانند وجود فایل‌ها را حتی پس از حذف آن‌ها از دیسک اثبات کنند.
* هیچ‌کدام به‌تنهایی برای اثبات اجرای یک برنامه کافی نیستند؛ بهتر است با سایر آرتیفکت‌ها مانند Prefetch یا Event Logs ترکیب شوند.
* تغییرات در ساختار این آرتیفکت‌ها در نسخه‌های مختلف ویندوز می‌تواند تحلیل را پیچیده کند؛ بنابراین، آشنایی با نسخه‌های مختلف و ابزارهای مناسب ضروری است.
#آکادمی_روزبه
مبحث جرم شناسی و فارنزیک درس CISSP
Comments
Be the first to add a comment
Log in to comment