Blog
DFIR-Notizen zu Windows-AppCompat-Artefakten — RecentFileCache.bcf, Amcache, Prefetch, ShimCache — mit praktischen, reproduzierbaren Triage-Rezepten.
Der Lebenszyklus der BCF hängt an einer einzigen geplanten Aufgabe. Verstehen Sie, wann ProgramDataUpdater läuft, wann sie die Datei leert und wie Sie einen deaktivierten Appraiser erkennen.
Das BCF-Format ist ein Header, eine Liste von längen-präfixierten UTF-16LE-Pfaden, und das war's. Hier ist, was jedes Byte bedeutet und warum sich seit 2009 nichts geändert hat.
Ein vom SOC markierter Win7 Endpoint, 14 Pfade in der BCF, drei einer zweiten Betrachtung wert. Eine realistische Korroborationskette und wie viel die BCF tatsächlich beigetragen hat.
Keine Zeitstempel, keine Hashes, keine Benutzerzuordnung, kein Skript-Tracking. Die RecentFileCache.bcf ist schmaler als ihr Ruf. Hier ist, wozu Sie greifen sollten.
Ein kurzes, spezifisches Artefakt, das nur auf Windows 7 und Server 2008 R2 existiert, aber wenn Sie es haben, ist es einer der saubersten Beweise für kürzliche Ausführung im DFIR.
Die BCF und die AmCache lösen überlappende Probleme auf verschiedenen Windows-Versionen. Zu wissen, welche Sie haben und warum, entscheidet, was Sie behaupten können.
Praxisleitfaden zum Ziehen von RecentFileCache.bcf in drei Szenarien: ein laufender Windows-7-Endpoint, ein forensisches Disk-Image und eine Volume Shadow Copy.
Wie Angreifer RecentFileCache.bcf unterdrücken, vergiften oder wipen — und die Event-Log-, Scheduled-Task- und Dateisystem-Signale, die sie dabei erwischen.
Praktischer Leitfaden zu Pfad-Heuristiken, Basename-Eigenheiten und Laufwerk-Mustern, die eine Liste gecachter Pfade in Untersuchungs-Leads verwandeln.