Syscache.hve : fiche forensique

Présentation

Syscache.hve est une ruche de registre stockée dans le dossier caché System Volume Information. Sous Windows 7 et Windows Server 2008 R2, elle est alimentée par le pilote discache.sys à partir de données transmises par le service Application Experience : pour les exécutables, elle conserve l'identifiant de fichier NTFS et un SHA-1, un peu comme Amcache sur les versions suivantes. Elle est moins étudiée qu'Amcache, et son comportement de mise à jour diffère selon les observations entre Windows 7 et Server 2008 R2 : utilisez-la en corroboration.

Emplacement

Version de Windows	Chemin	Remarques
7 / Server 2008 R2	`C:\System Volume Information\Syscache.hve`	Avec `Syscache.hve.LOG1` / `.LOG2` ; une par volume où elle est créée
8 et ultérieures	—	Comportement non documenté publiquement ; appuyez-vous sur Amcache

Dans la ruche, les enregistrements se trouvent sous DefaultObjectStore\ObjectTable\<id>.

System Volume Information n'est accessible qu'à SYSTEM : collectez la ruche par accès NTFS brut.

Ce que l'artefact prouve

Un exécutable identifié par son SHA-1 et sa référence de fichier MFT a été enregistré sur le volume.
Les enregistrements pointant vers l'entrée $MFT et non vers un chemin, on retrouve le chemin grâce à la $MFT, tant que l'entrée n'a pas été réutilisée (vérifiez le numéro de séquence).
Des tests publiés (David Cowen, 1234n6, Maxim Suhanov) ont observé des entrées créées peu après des exécutions sur Server 2008 R2, mais pas à chaque lancement. Lisez une entrée comme une preuve de présence et corroborez l'exécution par d'autres artefacts.

Champs clés

Valeur	Signification
`_FileId_`	Référence de fichier NTFS sur 64 bits : numéro d'entrée MFT et numéro de séquence
`AeFileID`	`0000` suivi du SHA-1 du fichier (chaîne UTF-16)
`AeProgramID`	Identifiant de programme issu de l'inventaire Application Experience
Autres valeurs `_..._`	Gestion interne du magasin d'objets par le pilote

Horodatages

Horodatage	Positionné quand	Format	Pièges
LastWrite de la clé `ObjectTable\<id>`	Création ou mise à jour de l'enregistrement	FILETIME, UTC	Seule heure par enregistrement ; d'autres mises à jour la déplacent

Rétention et effacement

Aucune limite de taille documentée ; les enregistrements peuvent survivre au fichier qu'ils décrivent.
Le fichier est protégé par les permissions de System Volume Information, ce qui rend une altération fortuite peu probable, mais un nettoyage des points de restauration ou des clichés ne le supprime pas.
Des versions plus anciennes de la ruche peuvent exister dans les clichés instantanés.

Collecte

Cible KAPE : Syscache (ruche et fichiers .LOG*)
Velociraptor (Windows.Triage.Targets) : Syscache
Commandes natives : pas de copie native simple (dossier réservé à SYSTEM, ruche potentiellement en cours d'utilisation) ; utilisez un collecteur à accès brut ou lisez-la depuis un cliché instantané.

vssadmin list shadows
copy "\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\System Volume Information\Syscache.hve" E:\case\

Outils d'analyse

RegRipper : plugin syscache (identifiant de fichier, numéro de séquence, SHA-1 et LastWrite par enregistrement).
Registry Explorer (Eric Zimmerman) : ouvrez la ruche pour parcourir ObjectTable.
MFTECmd (Eric Zimmerman) : résolvez les identifiants de fichiers en chemins à l'aide de la $MFT du même volume.

Conseils d'investigation

Joignez _FileId_ à l'entrée $MFT et vérifiez la concordance du numéro de séquence avant de vous fier au chemin.
Recherchez chaque SHA-1 dans les listes de hash malveillants connus et dans les données Amcache d'autres postes.
Sur un Windows 7, comparez avec RecentFileCache et ShimCache pour reconstituer les exécutions.
Le comportement n'étant pas entièrement documenté, testez vos conclusions sur un système comparable avant de les écrire dans un rapport.

Syscache.hve

Outils