RecentFileCache.bcf-Parser im Browser.

Voraussetzung: Windows 7 oder Server 2008 R2, PowerShell (die standardmäßige 64-Bit-Version) mit „Als Administrator ausführen“ gestartet.

New-Item -ItemType Directory -Force C:\triage | Out-Null
$s = ([wmiclass]'Win32_ShadowCopy').Create('C:\', 'ClientAccessible')
$sc = Get-WmiObject Win32_ShadowCopy -Filter "ID='$($s.ShadowID)'"
cmd /c copy /b /y "$($sc.DeviceObject)\Windows\AppCompat\Programs\RecentFileCache.bcf" C:\triage\RecentFileCache.bcf
$sc.Delete()

New-Item -ItemType Directory -Force C:\triage | Out-Null
Get-WmiObject Win32_ShadowCopy | ForEach-Object { $n = $_.DeviceObject.Split('\')[-1]; cmd /c copy /b /y "$($_.DeviceObject)\Windows\AppCompat\Programs\RecentFileCache.bcf" "C:\triage\RecentFileCache_$n.bcf" }

Legen Sie danach den Ordner C:\triage (oder die .bcf-Dateien) auf dieser Seite ab. Mehrere Kopien werden nebeneinander geladen.

Voraussetzung: Eine Eingabeaufforderung mit Administratorrechten auf dem Host, KAPE oder Velociraptor auf dem Host oder einem USB-Stick.

kape.exe --tsource C: --tdest C:\triage\kape --target RecentFileCache --vss

Legen Sie den Ordner C:\triage\kape oder das Velociraptor-ZIP unverändert ab: Das ZIP wird im Browser durchsucht, nur RecentFileCache.bcf wird entpackt.

Voraussetzung: Beliebiges Betriebssystem. Ein Abbild ist schreibgeschützt, es gibt keine Sperre zu umgehen.

Windows\AppCompat\Programs\RecentFileCache.bcf

robocopy E:\Windows\AppCompat\Programs C:\triage RecentFileCache.bcf

mmls image.dd
fls -r -p -o <offset> image.dd | grep -i RecentFileCache.bcf
icat -o <offset> image.dd <inode> > RecentFileCache.bcf

Legen Sie die exportierte RecentFileCache.bcf hier ab. Exportieren Sie sie auch aus jeder Schattenkopie des Abbilds, falls Ihr Tool sie anzeigt.

Voraussetzung: Nur Windows 7 oder Server 2008 R2.

C:\Windows\AppCompat\Programs\RecentFileCache.bcf

\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy<N>\Windows\AppCompat\Programs\RecentFileCache.bcf

Keine Begleitdateien nötig. Legen Sie eine .bcf, mehrere (eine pro Host oder Schattenkopie), einen ganzen Ordner oder ein ZIP ab: Die Datei wird an ihrer Signatur FE FF EE FF erkannt, egal wie sie heißt.