Informática forense – Windows

Análise forense do ShimCache (AppCompatCache) – Indícios sobre as aplicações executadas

O ShimCache, também conhecido como AppCompatCache, é um artefacto importante do Windows. Contém informações sobre ficheiros executáveis que foram registados pelo sistema operativo e, dependendo da versão do Windows, pode fornecer indicações valiosas sobre a utilização dos programas. No entanto, a sua relevância depende do sistema operativo em questão e das circunstâncias específicas de cada caso.

Pedido de informação sem compromisso

Numa análise forense profissional do Windows, o ShimCache nunca é avaliado isoladamente. Só a correlação com artefactos como o Amcache, os ficheiros de pré-busca, o Registo do Windows, os registos de eventos, a Tabela de Ficheiros Mestra (MFT) e o Diário USN permite uma reconstrução técnica fiável.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A análise é, em princípio, realizada exclusivamente numa cópia forense ou numa imagem forense. A prova original permanece inalterada e é guardada de forma a garantir a sua integridade probatória.

Os nossos serviços

Analisamos as entradas do ShimCache, avaliamos a sua relevância no respetivo sistema Windows e cruzamos os resultados com outros artefactos. Todas as etapas da investigação são documentadas de forma compreensível e enquadradas no contexto geral da investigação.

Áreas de aplicação típicas

•Análise de possíveis execuções do programa
•Análise de software malicioso
•Resposta a Incidentes
•Roubo de dados
•Acusações de manipulação
•Processos em matéria de direito do trabalho
•Pareceres judiciais

É assim que se desenrola uma análise forense do ShimCache

Após a criação de uma cópia forense, o ShimCache é extraído dos dados relevantes do sistema e analisado. Segue-se a correlação com outros vestígios digitais. Só depois é que os resultados são avaliados do ponto de vista técnico e documentados na íntegra.

Por que é que o ShimCache é importante?

O ShimCache pode fornecer indícios sobre programas que foram registados pelo Windows. A possibilidade de se poder concluir se esses programas foram efetivamente executados depende do sistema em questão e da análise global de todos os artefactos relevantes.

Perguntas frequentes

O que é o ShimCache?+
Um artefacto do Windows (AppCompatCache) que pode conter informações sobre ficheiros executáveis.
O sistema original está a ser analisado?+
Não. A análise é efetuada exclusivamente sobre uma cópia forense ou uma imagem forense.
O ShimCache, por si só, prova que um programa foi executado?+
Não. O seu significado deve ser sempre avaliado no contexto global.
O ShimCache, por si só, é suficiente para um parecer?+
Não. É sempre analisado em conjunto com outros artefactos do Windows.

LanCologne – Análise forense do Windows em Colónia

Precisa de uma análise profissional do ShimCache ou de outros artefactos do Windows? A LanCologne presta-lhe apoio na recolha de provas digitais com validade judicial e na avaliação objetiva de sistemas Windows complexos.

Entre em contacto connosco agora