AmCache & ShimCache - Guide Pratique Cybersecurite

# Création d'une shadow copy pour extraction sécurisée
$shadow = (gwmi -list win32_shadowcopy).Create("C:\\", "ClientAccessible")
$shadowID = $shadow.ShadowID
$shadowPath = (gwmi win32_shadowcopy | ? {$_.ID -eq $shadowID}).DeviceObject

# Extraction d'AmCache depuis la shadow copy
cmd /c mklink /d C:\\ShadowExtract "$shadowPath\\"
Copy-Item "C:\\ShadowExtract\\Windows\\appcompat\\Programs\\Amcache.hve" "D:\\Evidence\\Amcache.hve"

# Nettoyage
cmd /c rmdir C:\\ShadowExtract
(gwmi win32_shadowcopy | ? {$_.ID -eq $shadowID}).Delete()

# Extraction des données ShimCache du registre actif
$shimCachePath = "HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Session Manager"
$appCompatCache = Get-ItemProperty -Path $shimCachePath -Name AppCompatCache

# Export vers fichier binaire pour analyse ultérieure
[System.IO.File]::WriteAllBytes("D:\\Evidence\\shimcache.bin", $appCompatCache.AppCompatCache)

# Alternative : export de la ruche SYSTEM complète
reg save HKLM\\SYSTEM D:\\Evidence\\SYSTEM.hive /y

import struct
from datetime import datetime, timedelta
import Registry

def parse_amcache_entry(reg_key):
    """Parse une entrée AmCache depuis une clé de registre"""
    entry_data = {}

    for value in reg_key.values():
        if value.name() == "0":  # Full path
            entry_data['path'] = value.value().decode('utf-16-le').strip('\\x00')
        elif value.name() == "1":  # Last modified timestamp
            entry_data['last_modified'] = filetime_to_dt(value.value())
        elif value.name() == "f":  # File size
            entry_data['size'] = struct.unpack('<Q', value.value())[0]
        elif value.name() == "101":  # SHA1 hash
            entry_data['sha1'] = value.value().hex()

    return entry_data

def filetime_to_dt(filetime_bytes):
    """Convertit FILETIME Windows en datetime Python"""
    filetime = struct.unpack('<Q', filetime_bytes)[0]
    return datetime(1601, 1, 1) + timedelta(microseconds=filetime/10)

Ce diagramme temporel illustre la synchronisation et les décalages entre les différents artefacts Windows (MFT, Prefetch, ShimCache, AmCache, USN Journal) lors de l'exécution d'un programme, montrant les délais de capture et les zones de corrélation critiques pour l'analyse forensique.

5.1 Précision et fiabilité des timestamps

La question de la précision temporelle dans AmCache et ShimCache constitue un défi majeur pour l'analyse forensique. AmCache stocke plusieurs timestamps pour chaque entrée, mais leur signification exacte peut prêter à confusion. Le timestamp de "dernière modification" fait référence au timestamp du fichier sur le système de fichiers, pas nécessairement au moment de l'exécution. Le timestamp de "création" de l'entrée dans AmCache peut être décalé de plusieurs heures, voire jours, par rapport à l'événement réel d'exécution.

ShimCache présente une situation encore plus nuancée. Le seul timestamp explicitement stocké est celui de la dernière modification du fichier exécutable, extrait des métadonnées NTFS. Ce timestamp peut être facilement manipulé par des acteurs malveillants pratiquant le timestomping, compromettant potentiellement la chronologie reconstituée. L'absence de timestamp d'exécution explicite dans ShimCache force les analystes à s'appuyer sur l'ordre relatif des entrées et la corrélation avec d'autres sources.

5.2 Fenêtres de rétention et rotation des données

La durée de rétention des données dans AmCache dépend de multiples facteurs incluant l'activité système, la taille du fichier hve, et les opérations de maintenance Windows. En pratique, AmCache peut conserver des entrées datant de plusieurs années sur des systèmes peu actifs, tandis que des systèmes fortement sollicités peuvent voir une rotation plus rapide des données anciennes.

Details techniques supplementaires

Les mécanismes de nettoyage d'AmCache ne sont pas entièrement documentés et semblent varier entre les versions de Windows. Des observations empiriques suggèrent que Windows 10 et 11 implémentent des politiques de rétention plus agressives que Windows 8, particulièrement pour les entrées associées à des fichiers temporaires ou des exécutables non signés. Pour approfondir, consultez ISO 27001:2022 - Guide Complet de Certification et Mise en Conformité.

5.3 Stratégies de corrélation temporelle

Face aux limitations temporelles individuelles d'AmCache et ShimCache, les analystes forensiques doivent adopter des stratégies de corrélation poussées pour reconstruire des chronologies fiables. La triangulation avec d'autres sources temporelles comme les journaux d'événements Windows, les timestamps NTFS, et les artefacts USN Journal devient essentielle pour valider et affiner les timelines.

Partie VI : Corrélation avec MFT et Prefetch

6.1 Integration avec l'analyse MFT

Le Master File Table (MFT) constitue la pierre angulaire du système de fichiers NTFS, maintenant un enregistrement détaillé de tous les fichiers et répertoires. La corrélation entre AmCache/ShimCache et les entrées MFT permet une validation croisée puissante des activités d'exécution et peut révéler des tentatives de dissimulation ou de manipulation anti-forensique.

Les entrées MFT fournissent quatre timestamps critiques (Standard Information et Filename attributes) pour chaque fichier : création, modification, dernier accès, et modification de l'entrée MFT. La comparaison de ces timestamps avec ceux présents dans AmCache révèle souvent des patterns intéressants. Par exemple, un exécutable avec un timestamp de création MFT récent mais une entrée AmCache ancienne peut indiquer une réinstallation ou une tentative de remplacement de fichier.

# Extraction et corrélation MFT-AmCache
function Correlate-MFTAmCache {
    param(
        [string]$MFTPath,
        [string]$AmCachePath
    )

    # Parse MFT entries
    $mftEntries = Parse-MFT -Path $MFTPath

    # Parse AmCache entries
    $amcacheEntries = Parse-AmCache -Path $AmCachePath

    # Correlation basée sur le nom de fichier et les timestamps
    foreach ($amEntry in $amcacheEntries) {
        $mftMatch = $mftEntries | Where-Object {
            $_.FileName -eq [System.IO.Path]::GetFileName($amEntry.Path)
        }

        if ($mftMatch) {
            # Analyse des divergences temporelles
            $timeDiff = [Math]::Abs(($amEntry.LastModified - $mftMatch.ModifiedTime).TotalSeconds)

            if ($timeDiff -gt 2) {  # Plus de 2 secondes de différence
                Write-Warning "Divergence temporelle détectée pour $($amEntry.Path)"
                Write-Host "AmCache: $($amEntry.LastModified)"
                Write-Host "MFT: $($mftMatch.ModifiedTime)"
            }

            # Vérification de la cohérence des tailles de fichier
            if ($amEntry.FileSize -ne $mftMatch.FileSize) {
                Write-Warning "Incohérence de taille pour $($amEntry.Path)"
            }
        } else {
            Write-Warning "Entrée AmCache sans correspondance MFT: $($amEntry.Path)"
        }
    }
}

6.2 Exploitation des données Prefetch

Les fichiers Prefetch, stockés dans C:\\Windows\\Prefetch\\, fournissent une source complémentaire précieuse pour la validation des exécutions de programmes. Chaque exécution d'un programme génère ou met à jour un fichier .pf correspondant, contenant des métadonnées sur l'exécution incluant le nombre d'exécutions, les timestamps de dernière exécution et, dans Windows 8+, jusqu'à huit timestamps d'exécutions précédentes.

6.3 Cas pratiques de corrélation multi-sources

L'application pratique de la corrélation multi-sources se révèle particulièrement puissante dans l'analyse d'incidents de sécurité. Considérons le scénario d'une investigation de ransomware où l'attaquant a tenté d'effacer ses traces.

Partie VII : Techniques avancées et cas d'usage spécialisés

7.1 Analyse de malware et détection d'intrusion

L'utilisation combinée d'AmCache et ShimCache dans l'analyse de malware révèle des patterns comportementaux distinctifs difficiles à masquer complètement. Les malwares modernes emploient diverses techniques d'évasion, mais leur interaction avec le système de compatibilité Windows laisse invariablement des traces exploitables.

7.2 Investigations de fraude interne et conformité

Dans le contexte des investigations de fraude interne, AmCache et ShimCache offrent des capacités uniques pour tracer l'utilisation non autorisée de logiciels ou l'exfiltration de données. Les employés malveillants utilisent souvent des outils portables pour éviter la détection, mais ces outils laissent des traces dans les deux caches.

• Outils de suppression de données : Identification dans ShimCache, même après suppression ultérieure
• Applications cloud non autorisées : AmCache révèle utilisation d'applications de stockage cloud ou de transfert de fichiers
• Audits de conformité : Vérification rétrospective de l'absence de logiciels non conformes/non licenciés
• Traçabilité temporelle : Historique étendu d'AmCache permet investigations sur plusieurs mois/années

7.3 Reconstruction d'incidents et analyse post-mortem

La reconstruction détaillée d'incidents complexes nécessite souvent l'assemblage d'un puzzle temporel précis à partir de fragments d'information dispersés. AmCache et ShimCache, en conjunction avec d'autres artefacts, permettent de reconstruire non seulement ce qui s'est passé, mais aussi comment et pourquoi.

Partie VIII : Outils et automatisation

8.1 Écosystème d'outils open source

L'analyse d'AmCache et ShimCache bénéficie d'un écosystème riche d'outils open source, chacun offrant des capacités et des approches uniques. Eric Zimmerman's Tools Suite représente probablement la collection la plus complète et maintenue, avec AmcacheParser et AppCompatCacheParser offrant des capacités d'analyse en ligne de commande puissantes et scriptables.

# AmcacheParser - Extraction avec filtrage par date
AmcacheParser.exe -f "C:\\Amcache.hve" --csv "C:\\Output" --dt "2024-01-01"

# AppCompatCacheParser - Analyse avec détection d'anomalies
AppCompatCacheParser.exe -f "C:\\SYSTEM" --csv "C:\\Output" --nl

# Chaînage avec d'autres outils pour analyse approfondie
AmcacheParser.exe -f "C:\\Amcache.hve" --json |
    jq '.Files[] | select(.SHA1 != null)' |
    parallel --pipe "echo {} | check_virustotal.py"

8.2 Solutions commerciales et entreprise

Les plateformes commerciales d'investigation numérique intègrent de plus en plus des capacités avancées d'analyse AmCache/ShimCache. Magnet AXIOM, X-Ways Forensics, et EnCase offrent des modules dédiés avec des interfaces graphiques intuitives et des capacités de corrélation automatique avec d'autres artefacts. Pour approfondir, consultez Anti-Forensics.

Analyse complementaire

8.3 Développement de scripts personnalisés

Le développement de scripts personnalisés reste souvent nécessaire pour adresser des besoins spécifiques ou automatiser des workflows complexes. PowerShell, Python, et même des langages comme Go ou Rust sont utilisés pour créer des outils sur mesure optimisés pour des environnements particuliers.

import pyregf
import pytsk3
import hashlib
from datetime import datetime
import pandas as pd

class ForensicCorrelator:
    def __init__(self):
        self.amcache_data = []
        self.shimcache_data = []
        self.mft_data = []
        self.prefetch_data = []

    def parse_amcache(self, hive_path):
        """Parse AmCache hive and extract relevant artifacts"""
        regf_file = pyregf.file()
        regf_file.open(hive_path)

        root_key = regf_file.get_root_key()
        file_key = root_key.get_sub_key_by_path("Root\\\\File")

        if file_key:
            for volume_key in file_key.sub_keys:
                for file_ref_key in volume_key.sub_keys:
                    entry = self._extract_amcache_entry(file_ref_key)
                    if entry:
                        self.amcache_data.append(entry)

        regf_file.close()
        return self.amcache_data

    def correlate_artifacts(self):
        """Correlate data from multiple sources"""
        df_amcache = pd.DataFrame(self.amcache_data)
        df_shimcache = pd.DataFrame(self.shimcache_data)

        # Perform correlation based on file paths
        correlated = pd.merge(
            df_amcache,
            df_shimcache,
            on='path',
            how='outer',
            suffixes=('_amcache', '_shimcache')
        )

        # Identify discrepancies
        correlated['time_diff'] = abs(
            (correlated['modified_amcache'] - correlated['modified_shimcache']).dt.total_seconds()
        )

        anomalies = correlated[correlated['time_diff'] > 3600]

        return correlated, anomalies

    def generate_timeline(self):
        """Generate unified timeline from all sources"""
        timeline = []

        for entry in self.amcache_data:
            timeline.append({
                'timestamp': entry.get('modified'),
                'source': 'AmCache',
                'action': 'File Modified',
                'path': entry.get('path'),
                'details': f"SHA1: {entry.get('sha1', 'N/A')}"
            })

        timeline.sort(key=lambda x: x['timestamp'] if x['timestamp'] else datetime.min)

        return timeline

# Utilisation
correlator = ForensicCorrelator()
correlator.parse_amcache("C:\\\\Evidence\\\\Amcache.hve")
correlated_data, anomalies = correlator.correlate_artifacts()
timeline = correlator.generate_timeline()

Questions frequentes

Pour approfondir, consultez les ressources officielles : SANS White Papers, NVD - NIST et ANSSI.

Nous avons entraîné un modèle spécialisé CyberSec-Assistant-3B pour assister les professionnels de la cybersécurité sur ce type de problématique.

Conclusion : Maîtrise et perspectives futures

L'analyse forensique d'AmCache et ShimCache représente bien plus qu'une simple extraction de données ; elle constitue un art nécessitant une compréhension profonde des mécanismes Windows, une maîtrise des outils d'analyse, et une capacité à synthétiser des informations provenant de sources multiples et parfois contradictoires. La complexité croissante des systèmes Windows modernes, avec leurs multiples couches d'abstraction et leurs mécanismes de compatibilité élaborés, rend cette expertise de plus en plus critique.

Les évolutions futures de Windows, notamment avec l'intégration croissante de la télémétrie cloud et des mécanismes de sécurité basés sur l'IA, promettent d'enrichir encore davantage ces sources d'artefacts. Windows 11 a déjà introduit de nouveaux champs dans AmCache et modifié certains comportements de ShimCache. Les analystes forensiques doivent maintenir une veille technologique constante et adapter continuellement leurs méthodologies et outils.

L'automatisation et l'intelligence artificielle promettent de changer l'analyse de ces artefacts dans les années à venir. Les modèles de machine learning entraînés sur des patterns d'exécution normaux pourront identifier automatiquement les anomalies subtiles que même un analyste expérimenté pourrait manquer. Cependant, cette automatisation ne remplacera pas le jugement expert et la compréhension contextuelle qu'apporte l'analyste humain.

En définitive, AmCache et ShimCache continuent d'évoluer en tant que sources forensiques critiques, et leur importance ne fera que croître avec la complexification des menaces et l'sophistication des techniques d'attaque. Les professionnels de la sécurité et les analystes forensiques qui investissent dans la maîtrise approfondie de ces artefacts se positionnent avantageusement pour relever les défis de cybersécurité de demain.

🔬 Besoin d'une expertise forensique avancée ?

Notre équipe d'experts vous accompagne dans vos investigations forensiques Windows et Linux : analyse d'incidents, reconstruction de timelines, détection de malware et conformité.

Contactez-nous

Ressources open source associées :

• awesome-cybersecurity-tools — Liste de 100+ outils de cybersécurité

Partager cet article

Twitter LinkedIn Copier le lien

Ayi NEDJIMI

Expert Cybersécurité & Intelligence Artificielle

Consultant et formateur spécialisé en tests d'intrusion, Active Directory, et développement de solutions IA. 15+ années d'expérience en sécurité offensive.

Articles connexes

Forensique Mémoire : Guide Pratique Volatility 3 en 2026

08/03/2026

Timeline Forensique : Reconstituer Pas à Pas une : Guide

08/03/2026

Forensique Cloud : Analyser les Logs CloudTrail, Azure

08/03/2026

Article précédent

Comparatif Outils DFIR - Guide Pratique Cybersecurite

Article suivant

Telemetry Forensics - Guide Pratique Cybersecurite

Commentaires

Aucun commentaire pour le moment. Soyez le premier à commenter !

Laisser un commentaire

Nom *

Email * (non publié)

Commentaire *

Publier