IT-forensisch onderzoek – Windows

Forensische analyse van ShimCache (AppCompatCache) – Aanwijzingen over uitgevoerde applicaties

Der ShimCache, auch AppCompatCache genannt, ist ein wichtiges Windows-Artefakt. Er enthält Informationen über ausführbare Dateien, die vom Betriebssystem erfasst wurden, und kann je nach Windows-Version wertvolle Hinweise auf die Nutzung von Programmen liefern. Seine Aussagekraft hängt jedoch vom jeweiligen Betriebssystem und den konkreten Umständen des Einzelfalls ab.

Vrijblijvend informeren

In einer professionellen Windows-Forensik wird der ShimCache niemals isoliert bewertet. Erst die Korrelation mit Artefakten wie Amcache, Prefetch-Dateien, der Windows Registry, Event Logs, der Master File Table (MFT) und dem USN Journal ermöglicht eine belastbare technische Rekonstruktion.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie of een forensische afspiegeling. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

We analyseren ShimCache-vermeldingen, beoordelen de betekenis ervan binnen het betreffende Windows-systeem en vergelijken de resultaten met andere artefacten. Alle onderzoeksstappen worden op een traceerbare manier gedocumenteerd en in de algemene context van het onderzoek geplaatst.

Typische toepassingsgebieden

•Analyse van mogelijke programma-uitvoeringen
•Onderzoek naar schadelijke software
•Incidentrespons
•Diefstal van gegevens
•beschuldigingen van manipulatie
•Arbeidsrechtelijke procedures
•Gerechtelijke deskundigenrapporten

So läuft eine ShimCache-forensische Untersuchung ab

Nadat er een forensische kopie is gemaakt, wordt de ShimCache uit de relevante systeemgegevens geëxtraheerd en geanalyseerd. Vervolgens vindt de correlatie met andere digitale sporen plaats. Pas daarna worden de resultaten technisch beoordeeld en volledig gedocumenteerd.

Warum ist der ShimCache wichtig?

De ShimCache kan aanwijzingen opleveren over programma’s die door Windows zijn geregistreerd. Of hieruit conclusies kunnen worden getrokken over de daadwerkelijke uitvoering van een programma, hangt af van het betreffende systeem en de algehele analyse van alle relevante artefacten.

Veelgestelde vragen

Was ist der ShimCache?+
Ein Windows-Artefakt (AppCompatCache), das Informationen über ausführbare Dateien enthalten kann.
Wordt het originele systeem onderzocht?+
Nee. Er wordt uitsluitend een forensische kopie of een forensische afspiegeling geanalyseerd.
Beweist der ShimCache allein eine Programmausführung?+
Nein. Seine Aussagekraft muss immer im Gesamtkontext bewertet werden.
Reicht der ShimCache allein für ein Gutachten aus?+
Nee. Het wordt altijd samen met andere Windows-artefacten geanalyseerd.

LanCologne – Windows-forensisch onderzoek in Keulen

Heeft u een professionele analyse nodig van de ShimCache of andere Windows-artefacten? LanCologne ondersteunt u bij het op een voor de rechtbank toelaatbare manier veiligstellen van digitaal bewijsmateriaal en bij de objectieve analyse van complexe Windows-systemen.

Nu contact opnemen