ShimcacheParser

ShimcacheParser.py -r SYSTEM > shim.csv

Extrai o ShimCache (AppCompatCache) do hive SYSTEM, o registro de execução de programas do kernel do Windows.

Execute-o quando precisar do registro de execução que o kernel mantém: o ShimCache (AppCompatCache) guarda no hive SYSTEM a lista de executáveis com seu caminho, tamanho e última execução — e é especialmente valioso porque o sistema o atualiza continuamente e é difícil de limpar completamente (os atacantes apagam o prefetch, mas o ShimCache resiste). No IR, o ShimCache responde 'o que foi executado neste sistema?' a partir do registro — o payload e as ferramentas do atacante com seu rastro. O parser funciona a partir do Linux (Python), permitindo analisar os hives sem uma máquina Windows.

Não o use como registro completo: o ShimCache tem capacidade limitada (é sobrescrito com novas execuções) e não guarda timestamps confiáveis em todas as versões do Windows (apenas a última execução, e em algumas versões sem hora). Arquivos apagados do sistema (limpeza do atacante) deixam a entrada do ShimCache sem o arquivo — o achado é a entrada, não a confirmação. E atenção: o parser precisa do hive SYSTEM correto (o do sistema analisado, não o do host de análise); hives em uso são copiados antes. Para correlação temporal exata, combine com Amcache e MFT.