Skip to content
RecentFileCache

Cyber Experts

A DFIR collective publishing browser-based forensic parsers and field notes on Windows AppCompat artifacts — RecentFileCache.bcf, Amcache, Prefetch, ShimCache — alongside practical incident-response workflows.

WebsiteTwitter
RecentFileCache-Manipulation erkennen
Wie Angreifer RecentFileCache.bcf unterdrücken, vergiften oder wipen — und die Event-Log-, Scheduled-Task- und Dateisystem-Signale, die sie dabei erwischen.
dfirwindows-forensicsrecentfilecacheanti-forensics
Triage: verdächtige Einträge in RecentFileCache erkennen
Praktischer Leitfaden zu Pfad-Heuristiken, Basename-Eigenheiten und Laufwerk-Mustern, die eine Liste gecachter Pfade in Untersuchungs-Leads verwandeln.
dfirwindows-forensicsrecentfilecachetriage
RecentFileCache-Befunde validieren: Pivots und False Positives
Was zu tun ist, nachdem ein verdächtiger Eintrag auftaucht: Ausführung bestätigen, was zu kreuzen ist, und die False-Positive-Muster, die Analysten kalt erwischen.
dfirwindows-forensicsrecentfilecachevalidation
RecentFileCache vs Amcache vs Prefetch vs ShimCache
Vier Windows-Evidence-of-Execution-Artefakte nebeneinander: was jedes speichert, was nicht, und welches du zuerst öffnen solltest.
dfirwindows-forensicsevidence-of-executionrecentfilecache