Shimcache (AppCompatCache).

Valeur du registre Windows qui trace des metadonnees d'executables pour les controles de compatibilite ; historiquement utilisee comme preuve d'execution, avec d'importantes nuances d'interpretation. Cette notion relève de la catégorie Forensique et réponse en cybersécurité.

Valeur du registre Windows qui trace des metadonnees d'executables pour les controles de compatibilite ; historiquement utilisee comme preuve d'execution, avec d'importantes nuances d'interpretation.

Shimcache, officiellement Application Compatibility Cache (AppCompatCache), est stocke dans la ruche SYSTEM sous ControlSet###\Control\Session Manager\AppCompatCache. Il enregistre chemin, taille et date de derniere modification des executables analyses par le sous-systeme AppCompat, et sur certaines versions de Windows un drapeau d'execution. Le cache n'est ecrit sur disque qu'a l'arret, donc une extraction a chaud peut rater les entrees recentes ; de plus, une entree ne signifie pas toujours que la binaire a ete executee : sur d'anciennes versions, parcourir un dossier dans l'Explorateur pouvait suffire. Sur les systemes recents Amcache est plus fiable, mais Shimcache reste utile sur les hotes legacy et comme element corroboratif. AppCompatCacheParser est l'outil standard.

Les défenses contre Shimcache (AppCompatCache) combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : AppCompatCache, AppCompat Cache.