Lorsqu’un fichier a été supprimé d’un poste Windows, son aperçu miniature, lui, survit souvent à l’effacement. C’est toute la valeur des caches d’images pour l’investigation numérique : là où l’utilisateur pense avoir fait le ménage, le système a conservé des traces exploitables.
Windows entretient en effet plusieurs bases de données locales pour accélérer l’affichage des éléments graphiques dans l’Explorateur de fichiers. Deux d’entre elles présentent un intérêt forensic direct : le cache des icônes (IconCache), qui conserve les icônes des applications et des raccourcis, et le cache des vignettes (Thumbnail Cache), qui stocke les aperçus des images, vidéos, documents et PDF consultés. Le premier aide à établir qu’une application a été présente sur la machine, le second permet parfois de retrouver l’aperçu d’un fichier consulté puis supprimé, déplacé ou masqué.
Ces deux artefacts partagent le même répertoire de stockage, mais ne répondent pas au même objectif et ne s’interprètent pas de la même façon. Comme la plupart des traces abordées dans cette série, ils ne se suffisent pas à eux seuls : la présence d’une icône ou d’une vignette n’est pas une preuve d’exécution, et doit être corrélée avec d’autres artefacts déjà étudiés, comme ShimCache, Amcache, Prefetch ou SuperFetch.
Dans cet article, je vous propose de découvrir le rôle et l’emplacement de ces deux caches, puis d’apprendre à les analyser avec l’outil Thumbcache Viewer. Nous verrons comment extraire les icônes et les vignettes mises en cache, ce que ces informations révèlent réellement sur l’activité d’un utilisateur, et quelles sont les limites à connaître avant d’en tirer des conclusions.
Caches d’images Windows
Windows utilise plusieurs mécanismes de cache pour accélérer l’affichage des éléments graphiques dans l’Explorateur de fichiers. Au lieu de recalculer ou de recharger certaines images à chaque ouverture d’un dossier, le système les conserve dans des bases de données locales.
Dans le cadre de cet article, nous allons nous concentrer sur deux artefacts principaux : le cache des icônes et le cache des vignettes. Ils sont stockés dans le même répertoire, mais ne contiennent pas les mêmes informations et ne répondent pas au même objectif :
C:\Utilisateurs\[Nom d’utilisateur]\AppData\Local\Microsoft\Windows\Explorer
Cache des icônes Windows
Le cache des icônes, ou IconCache, permet à Windows de stocker les icônes associées aux applications, exécutables, raccourcis et bibliothèques. Son objectif est d’accélérer leur affichage dans l’Explorateur de fichiers, le menu Démarrer ou certaines fenêtres du système.
Cependant, la présence d’une icône ne doit pas être interprétée seule comme une preuve d’exécution. Elle doit être corrélée avec d’autres artefacts comme Prefetch, Amcache, UserAssist, les raccourcis LNK ou les journaux d’événements.
Exemples de fichiers :
iconcache_16.db
iconcache_32.db
iconcache_48.db
iconcache_96.db
iconcache_256.db
iconcache_idx.db
Cache des vignettes Windows
Le cache des vignettes, ou Thumbnail Cache, permet à Windows de stocker les aperçus miniatures de certains fichiers affichés dans l’Explorateur. Il concerne principalement les images, vidéos, documents Office, PDF et autres fichiers compatibles avec la génération de miniatures.
Lorsqu’un utilisateur ouvre un dossier en mode grandes icônes ou miniatures, Windows peut générer un aperçu du fichier et l’enregistrer dans une base de données. Cela permet d’afficher plus rapidement ces aperçus lors des prochaines ouvertures.
Exemples de fichiers :
thumbcache_32.db
thumbcache_96.db
thumbcache_256.db
thumbcache_1024.db
thumbcache_1280.db
thumbcache_idx.db
Voici de près la structure des fichiers :
NomInformationsthumbcache_idx.dbInformations sur l’index des vignettesthumbcache_32.dbLes vignettes de moins de 32×32 pixels sont enregistrées, et toutes sont au format BMP.thumbcache_96.dbLes vignettes de 32×32 à 96×96 pixels sont enregistrées au format BMP.thumbcahce_256.dbLes vignettes sont enregistrées au format JPEG ou PNG, avec une taille comprise entre 96×96 et 256×256 pixels.thumbcache_1024.dbLes vignettes, dont la taille varie de 256×256 à 1024×1024 pixels, sont enregistrées, toutes au format JPEG.
Analyse du cache des icônes
Maintenant que nous avons compris le rôle du cache des icônes, nous allons passer à son analyse. Pour cela, nous utiliserons l’outil “Thumbcache Viewer”, disponible à l’adresse suivante :
Une fois téléchargé, exécutez simplement l’application. L’outil permet d’analyser aussi bien le cache des icônes (IconCache) que le cache des vignettes (Thumbnail Cache). Cliquez sur File puis Open, sélectionnez le type de fichier à ouvrir et validez en cliquant sur OK.
Pour obtenir les résultats les plus complets, privilégiez les fichiers de grande taille, comme iconcache_256.db, qui contiennent généralement des icônes de meilleure qualité et sont utilisés par la plupart des applications récentes.
Une fois le fichier ouvert, vous pouvez parcourir les différentes entrées à l’aide des flèches du clavier et visualiser les icônes enregistrées. Dans notre exemple, nous retrouvons notamment l’icône de Wireshark, indiquant que celle-ci a été mise en cache par Windows.
IconCache et Thumbnail Cache en un coup d’œil
Pour résumer les différences entre les deux caches étudiés dans cet article :
CritèreCache des icônesCache des vignettesContenu mis en cacheIcônes des applications, exécutables, raccourcisAperçus des images, vidéos, documents, PDFDéclencheurAffichage d’une icône dans l’Explorateur, le menu Démarrer, etc.Consultation d’un dossier en mode grandes icônes ou miniaturesFichiersiconcache_*.dbthumbcache_*.dbValeur en investigationPrésence d’une application sur le systèmeConsultation d’un fichier, y compris après sa suppressionNom du fichier d’origineNon conservéNon conservé, à résoudre via Windows.edb
Conclusion
Bien que cet artefact permette d’identifier des applications ayant été présentes sur le système, il ne fournit pas à lui seul la date d’exécution d’un programme. Il est donc recommandé de corréler son analyse avec d’autres artefacts, tels que Prefetch, Amcache, UserAssist ou les fichiers LNK, afin de confirmer l’activité observée. Néanmoins, ceci présente l’avantage d’avoir une trace et une preuve supplémentaires qu’une application a été exécutée sur l’ordinateur local.
Consultant et formateur expert Windows Server et Cloud Azure. Chercheur en Cybersécurité.