IT-forensisch onderzoek – Windows

Forensische analyse van ShimCache (AppCompatCache) – Aanwijzingen over uitgevoerde applicaties

De ShimCache, ook wel AppCompatCache genoemd, is een belangrijk Windows-artefact. Het bevat informatie over uitvoerbare bestanden die door het besturingssysteem zijn geregistreerd en kan, afhankelijk van de Windows-versie, waardevolle aanwijzingen geven over het gebruik van programma’s. De betekenis ervan hangt echter af van het betreffende besturingssysteem en de specifieke omstandigheden van het individuele geval.

Vrijblijvend informeren

Bij professioneel forensisch onderzoek in Windows wordt de ShimCache nooit afzonderlijk beoordeeld. Pas door de correlatie met artefacten zoals Amcache, prefetch-bestanden, het Windows-register, gebeurtenislogboeken, de Master File Table (MFT) en het USN-journaal is een betrouwbare technische reconstructie mogelijk.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie of een forensische afspiegeling. Het originele bewijsmateriaal blijft ongewijzigd en wordt op een bewijsveilige manier bewaard.

Onze diensten

We analyseren ShimCache-vermeldingen, beoordelen de betekenis ervan binnen het betreffende Windows-systeem en vergelijken de resultaten met andere artefacten. Alle onderzoeksstappen worden op een traceerbare manier gedocumenteerd en in de algemene context van het onderzoek geplaatst.

Typische toepassingsgebieden

•Analyse van mogelijke programma-uitvoeringen
•Onderzoek naar schadelijke software
•Incidentrespons
•Diefstal van gegevens
•beschuldigingen van manipulatie
•Arbeidsrechtelijke procedures
•Gerechtelijke deskundigenrapporten

Zo verloopt een forensisch onderzoek met ShimCache

Nadat er een forensische kopie is gemaakt, wordt de ShimCache uit de relevante systeemgegevens geëxtraheerd en geanalyseerd. Vervolgens vindt de correlatie met andere digitale sporen plaats. Pas daarna worden de resultaten technisch beoordeeld en volledig gedocumenteerd.

Waarom is de ShimCache belangrijk?

De ShimCache kan aanwijzingen opleveren over programma’s die door Windows zijn geregistreerd. Of hieruit conclusies kunnen worden getrokken over de daadwerkelijke uitvoering van een programma, hangt af van het betreffende systeem en de algehele analyse van alle relevante artefacten.

Veelgestelde vragen

Wat is de ShimCache?+
Een Windows-artefact (AppCompatCache) dat informatie over uitvoerbare bestanden kan bevatten.
Wordt het originele systeem onderzocht?+
Nee. Er wordt uitsluitend een forensische kopie of een forensische afspiegeling geanalyseerd.
Is de ShimCache op zichzelf voldoende bewijs voor de uitvoering van een programma?+
Nee. De betekenis ervan moet altijd in de totale context worden beoordeeld.
Is de ShimCache op zichzelf voldoende voor een rapport?+
Nee. Het wordt altijd samen met andere Windows-artefacten geanalyseerd.

LanCologne – Windows-forensisch onderzoek in Keulen

Heeft u een professionele analyse nodig van de ShimCache of andere Windows-artefacten? LanCologne ondersteunt u bij het op een voor de rechtbank toelaatbare manier veiligstellen van digitaal bewijsmateriaal en bij de objectieve analyse van complexe Windows-systemen.

Nu contact opnemen