Suche
Durchsuche alle Artikel des RecentFileCache-Parser-Blogs. Filtere nach Tag, Titel oder Stichwort quer durch die Windows-DFIR-Abdeckung.
Die Application-Experience-Appraisal-Aufgabe: wann die BCF geschrieben und wann sie geleert wird
Der Lebenszyklus der BCF hängt an einer einzigen geplanten Aufgabe. Verstehen Sie, wann ProgramDataUpdater läuft, wann sie die Datei leert und wie Sie einen deaktivierten Appraiser erkennen.
Das RecentFileCache.bcf Dateiformat, in einfachen Worten
Das BCF-Format ist ein Header, eine Liste von längen-präfixierten UTF-16LE-Pfaden, und das war's. Hier ist, was jedes Byte bedeutet und warum sich seit 2009 nichts geändert hat.
Untersuchung eines Win7 Hosts mit der BCF: eine kurze Walkthrough
Ein vom SOC markierter Win7 Endpoint, 14 Pfade in der BCF, drei einer zweiten Betrachtung wert. Eine realistische Korroborationskette und wie viel die BCF tatsächlich beigetragen hat.
Grenzen der BCF: wann sie Ihnen nichts sagt, und was Sie stattdessen verwenden
Keine Zeitstempel, keine Hashes, keine Benutzerzuordnung, kein Skript-Tracking. Die RecentFileCache.bcf ist schmaler als ihr Ruf. Hier ist, wozu Sie greifen sollten.
RecentFileCache.bcf: das leise Artefakt, das die meisten Analysten vergessen
Ein kurzes, spezifisches Artefakt, das nur auf Windows 7 und Server 2008 R2 existiert, aber wenn Sie es haben, ist es einer der saubersten Beweise für kürzliche Ausführung im DFIR.
RecentFileCache vs AmCache: welches auf Ihrem Host ist und warum
Die BCF und die AmCache lösen überlappende Probleme auf verschiedenen Windows-Versionen. Zu wissen, welche Sie haben und warum, entscheidet, was Sie behaupten können.
RecentFileCache.bcf von Live- und Offline-Systemen erfassen
Praxisleitfaden zum Ziehen von RecentFileCache.bcf in drei Szenarien: ein laufender Windows-7-Endpoint, ein forensisches Disk-Image und eine Volume Shadow Copy.
RecentFileCache-Manipulation erkennen
Wie Angreifer RecentFileCache.bcf unterdrücken, vergiften oder wipen — und die Event-Log-, Scheduled-Task- und Dateisystem-Signale, die sie dabei erwischen.
Triage: verdächtige Einträge in RecentFileCache erkennen
Praktischer Leitfaden zu Pfad-Heuristiken, Basename-Eigenheiten und Laufwerk-Mustern, die eine Liste gecachter Pfade in Untersuchungs-Leads verwandeln.
RecentFileCache-Befunde validieren: Pivots und False Positives
Was zu tun ist, nachdem ein verdächtiger Eintrag auftaucht: Ausführung bestätigen, was zu kreuzen ist, und die False-Positive-Muster, die Analysten kalt erwischen.
Application Experience & ProgramDataUpdater: wie .bcf befüllt wird
Ein Durchgang durch den Windows-7-Dienst und die geplante Aufgabe, die RecentFileCache.bcf schreiben, und was dieser Lebenszyklus für Triage-Zeitfenster bedeutet.
Das .bcf-Format, Byte für Byte
Eine praxisnahe Lektüre des binären RecentFileCache.bcf-Formats mit einem Hex-Dump, einem decodierten Datensatz und den Sonderfällen, die ein Parser handhaben muss.
RecentFileCache vs Amcache vs Prefetch vs ShimCache
Vier Windows-Evidence-of-Execution-Artefakte nebeneinander: was jedes speichert, was nicht, und welches du zuerst öffnen solltest.
Was ist RecentFileCache.bcf?
Eine kurze Einführung in das Windows-7-AppCompat-Artefakt: wo es lebt, was es aufzeichnet und warum es 2026 immer noch in Triage-Fällen auftaucht.