Pengantar

Dalam investigasi digital, sistem operasi Windows menyimpan berbagai artefak yang dapat membantu investigator memahami aktivitas sebuah komputer. Salah satunya adalah Shimcache, yang juga dikenal sebagai Application Compatibility Cache atau AppCompatCache.

Shimcache awalnya merupakan bagian dari mekanisme Windows Application Compatibility, yang digunakan untuk membantu aplikasi berjalan dengan baik pada sistem operasi Windows. Microsoft menjelaskan bahwa infrastruktur application compatibility digunakan untuk mengidentifikasi masalah kompatibilitas aplikasi dan menerapkan solusi yang sesuai (dikutip dari: Microsoft Learn).

Dalam dunia digital forensics, data tersebut dapat dimanfaatkan untuk mencari jejak file atau aplikasi yang pernah tercatat oleh sistem.

Apa Itu Shimcache?

Shimcache merupakan cache yang berkaitan dengan Application Compatibility Infrastructure. Dalam forensic analysis, artefak ini dapat memberikan informasi seperti nama file, lokasi file, ukuran, dan metadata tertentu, tergantung versi Windows yang dianalisis.

Lokasi registry yang umum digunakan adalah:

HKLM\SYSTEM\CurrentControlSet\
Control\Session Manager\AppCompatCache

Data tersebut berasal dari SYSTEM Registry Hive, yang biasanya berada di:

C:\Windows\System32\Config\SYSTEM

Shimcache banyak digunakan sebagai salah satu sumber informasi ketika investigator melakukan analisis aktivitas aplikasi pada Windows (dikutip dari: Forensic Artifacts – ShimCache).

baca juga : HTTP/2 Multiplexing: Cara Kerja dan Rahasia di Balik Koneksi Web yang Lebih Cepat

Mengapa Shimcache Penting dalam Forensics?

Menemukan File Mencurigakan

Misalnya investigator menemukan entry seperti:

C:\Users\Public\update.exe

File tersebut sudah tidak ditemukan pada disk. Shimcache dapat memberikan petunjuk bahwa path tersebut pernah tercatat oleh sistem.

Informasi tersebut dapat dikembangkan dengan mencari bukti tambahan dari:

  • Prefetch
  • AmCache
  • Windows Event Logs
  • LNK Files
  • BAM/DAM
  • EDR Telemetry

Dengan demikian, Shimcache dapat membantu investigator menyusun timeline aktivitas endpoint.

Apakah Shimcache Membuktikan Program Dieksekusi?

Ini merupakan bagian yang sangat penting.

Entry Shimcache tidak boleh langsung dianggap sebagai bukti pasti bahwa sebuah program telah dieksekusi.

Shimcache berkaitan dengan mekanisme kompatibilitas aplikasi, bukan merupakan execution log yang secara khusus dibuat untuk mencatat setiap program yang dijalankan.

Karena itu, investigator sebaiknya melakukan korelasi dengan artefak lain.

Contohnya:

Shimcache
    +
Prefetch
    +
AmCache
    +
Event Logs
    ↓
Analisis Aktivitas

Semakin banyak artefak yang memberikan informasi konsisten, semakin kuat kesimpulan forensic yang dapat dibuat.

Shimcache vs Prefetch

Keduanya sering digunakan bersama, tetapi memiliki fungsi yang berbeda.

Shimcache dapat memberikan informasi mengenai file atau aplikasi yang tercatat dalam Application Compatibility Cache.

Sementara itu, Prefetch dapat memberikan informasi yang berkaitan dengan aktivitas aplikasi dan performa loading pada sistem Windows tertentu.

Karena karakteristiknya berbeda, investigator sebaiknya tidak memilih salah satu saja. Menggabungkan keduanya dapat memberikan gambaran yang lebih lengkap mengenai aktivitas executable.

baca juga : Privileged Identity Management (PIM): Strategi Mengamankan Akses Istimewa dari Ancaman Siber

Cara Melakukan Analisis Shimcache

1. Dapatkan SYSTEM Hive

Investigator terlebih dahulu memperoleh file:

C:\Windows\System32\Config\SYSTEM

dari forensic image atau sumber evidence yang telah diperoleh secara tepat.

2. Cari AppCompatCache

Setelah hive dibuka menggunakan forensic tool atau registry analysis tool, cari:

ControlSet00x
└── Control
    └── Session Manager
        └── AppCompatCache

3. Analisis Entry

Periksa informasi seperti:

  • Nama executable.
  • File path.
  • Timestamp atau metadata terkait.
  • File yang berada di lokasi mencurigakan.

4. Lakukan Korelasi

Jangan berhenti pada Shimcache. Bandingkan hasilnya dengan Prefetch, AmCache, Event Logs, dan artefak Windows lainnya.

Contoh Sederhana Investigasi

Misalnya ditemukan:

C:\Users\Public\invoice.exe

pada Shimcache.

Investigator kemudian menemukan:

invoice.exe
↓
Shimcache
↓
Prefetch
↓
Network Connection

Jika seluruh informasi tersebut memiliki waktu yang berdekatan dan saling mendukung, investigator dapat memperoleh gambaran yang lebih kuat mengenai aktivitas file tersebut.

Namun, setiap temuan tetap harus diverifikasi sebelum digunakan sebagai kesimpulan akhir.

Keterbatasan Shimcache

Shimcache memiliki beberapa keterbatasan yang perlu diperhatikan:

  • Tidak selalu membuktikan eksekusi program.
  • Format dan perilakunya dapat berbeda antarversi Windows.
  • Data cache dapat berubah atau tergantikan.
  • Tidak dirancang untuk mengidentifikasi pengguna yang menjalankan program.
  • Harus dikombinasikan dengan artefak forensic lainnya.

Karena itu, Shimcache sebaiknya dipandang sebagai satu bagian dari puzzle digital forensics, bukan sebagai satu-satunya sumber bukti.

baca juga : Software Bill of Materials (SBOM): Senjata Penting untuk Mengamankan Rantai Pasok Software

Kesimpulan

Shimcache Forensics merupakan teknik yang berguna untuk menganalisis jejak aplikasi pada sistem Windows. Artefak ini dapat membantu investigator menemukan informasi mengenai file dan path yang pernah tercatat oleh mekanisme Application Compatibility.

Namun, keberadaan sebuah file pada Shimcache tidak otomatis membuktikan bahwa file tersebut telah dieksekusi. Analisis yang lebih akurat membutuhkan korelasi dengan Prefetch, AmCache, Windows Event Logs, EDR, dan artefak lainnya.

Dengan memahami fungsi dan keterbatasannya, Shimcache dapat menjadi salah satu sumber informasi penting dalam malware investigation, incident response, dan Windows digital forensics.