ShimcacheParser

ShimcacheParser.py -r SYSTEM > shim.csv

Extrae el ShimCache (AppCompatCache) del hive SYSTEM, el registro de ejecución de programas del kernel de Windows.

Ejecútalo cuando necesites el registro de ejecución que el kernel mantiene: el ShimCache (AppCompatCache) guarda en el hive SYSTEM la lista de ejecutables con su path, tamaño y última ejecución — y es especialmente valioso porque el sistema lo actualiza de forma continua y es difícil de limpiar por completo (los atacantes borran el prefetch, pero el ShimCache se les resiste). En el IR, el ShimCache responde a '¿qué se ejecutó en este sistema?' desde el registro — el payload y las herramientas del atacante con su rastro. El parser funciona desde Linux (Python), lo que permite analizar los hives sin una máquina Windows.

No lo uses como registro completo: el ShimCache tiene una capacidad limitada (se sobrescribe con las ejecuciones nuevas) y no guarda timestamps fiables en todas las versiones de Windows (solo la última ejecución, y en algunas versiones sin hora). Los ficheros borrados del sistema (limpieza del atacante) dejan la entrada del ShimCache sin el fichero — el hallazgo es la entrada, no la confirmación. Y ojo: el parser necesita el hive SYSTEM correcto (el del sistema analizado, no el del host de análisis); los hives en uso se copian antes. Para la correlación temporal exacta, combina con el Amcache y el MFT.