Beiträge mit Tag: #program-execution

Der Lebenszyklus der BCF hängt an einer einzigen geplanten Aufgabe. Verstehen Sie, wann ProgramDataUpdater läuft, wann sie die Datei leert und wie Sie einen deaktivierten Appraiser erkennen.

Keine Zeitstempel, keine Hashes, keine Benutzerzuordnung, kein Skript-Tracking. Die RecentFileCache.bcf ist schmaler als ihr Ruf. Hier ist, wozu Sie greifen sollten.

Ein kurzes, spezifisches Artefakt, das nur auf Windows 7 und Server 2008 R2 existiert, aber wenn Sie es haben, ist es einer der saubersten Beweise für kürzliche Ausführung im DFIR.

Die BCF und die AmCache lösen überlappende Probleme auf verschiedenen Windows-Versionen. Zu wissen, welche Sie haben und warum, entscheidet, was Sie behaupten können.