Skip to content
RecentFileCache

Windows 7 · AppCompat · 100 % local

Parser RecentFileCache.bcf, en tu navegador.

Suelta un archivo RecentFileCache.bcf de Windows 7 e inspecciona las rutas en caché. El análisis se ejecuta 100 % localmente vía WebAssembly — la evidencia nunca sale de tu equipo.

  • Sin subidas — WebAssembly en tu navegador
  • Suelta un .bcf, una carpeta o un ZIP de KAPE / Velociraptor
  • Las sesiones se quedan en este navegador
  • Exportación CSV y JSON

Parser RecentFileCache

Suelta aquí un RecentFileCache.bcf, una carpeta de triaje o un ZIP de KAPE / Velociraptor, o haz clic para elegir.

Elegir un archivo

El análisis se ejecuta 100 % en el cliente vía WebAssembly. El archivo nunca se sube.

RecentFileCache.bcf sintético (Windows 7) de una intrusión ficticia — sin datos reales. Este artefacto solo existe en Windows 7 / Server 2008 R2 (Amcache.hve lo sustituyó a partir de Windows 8).

Cómo obtener tus datos

De un equipo Windows 7 a los resultados en unos dos minutos. Usa el primer método que encaje: cada comando está listo para pegar.

  1. 1RecogerEjecuta un comando en el equipo
  2. 2SoltarSuelta aquí el archivo, la carpeta C:\triage o el ZIP
  3. 3Se queda en localSe analiza en tu navegador, nunca se sube

Requisitos: Windows 7 o Server 2008 R2, PowerShell (el de 64 bits predeterminado) abierto con «Ejecutar como administrador».

Archivo actual, mediante una instantánea temporal

El archivo está abierto, así que el comando crea una instantánea de C:, copia RecentFileCache.bcf de ella a C:\triage y después la elimina.

PowerShell
New-Item -ItemType Directory -Force C:\triage | Out-Null
$s = ([wmiclass]'Win32_ShadowCopy').Create('C:\', 'ClientAccessible')
$sc = Get-WmiObject Win32_ShadowCopy -Filter "ID='$($s.ShadowID)'"
cmd /c copy /b /y "$($sc.DeviceObject)\Windows\AppCompat\Programs\RecentFileCache.bcf" C:\triage\RecentFileCache.bcf
$sc.Delete()

Además: versiones antiguas de las instantáneas existentes

Cada instantánea guarda su propia copia, a menudo con entradas ya purgadas del archivo actual. Se guardan como RecentFileCache_HarddiskVolumeShadowCopyN.bcf; las instantáneas de otras unidades solo muestran «no se encuentra la ruta».

PowerShell
New-Item -ItemType Directory -Force C:\triage | Out-Null
Get-WmiObject Win32_ShadowCopy | ForEach-Object { $n = $_.DeviceObject.Split('\')[-1]; cmd /c copy /b /y "$($_.DeviceObject)\Windows\AppCompat\Programs\RecentFileCache.bcf" "C:\triage\RecentFileCache_$n.bcf" }

Después suelta la carpeta C:\triage (o los archivos .bcf) en esta página. Varias copias se cargan una junto a otra.

Trampas habituales

  • Una copia normal del archivo en vivo falla: está abierto. Una copia de 0 bytes o llena de ceros significa que la copia falló, y esta página lo indica.
  • Solo Windows 7 / Server 2008 R2. Un equipo con Windows 8+ no tiene RecentFileCache.bcf: recoge Amcache.hve en su lugar.
  • Se reescribe en cada ejecución de ProgramDataUpdater y las entradas no tienen marca de tiempo: recoge pronto y conserva las instantáneas y el LastWriteTime del archivo.
Guía de adquisición completa →
Ilustración con rutas de ejemplo — no es evidencia real.

Por qué lo usan los analistas

La lista que Windows 7 pasó, lista para el triaje.

RecentFileCache.bcf es la lista de rutas de programas que el servicio Experiencia con aplicaciones detectó desde su última sincronización. Este espacio de trabajo la vuelve buscable, marcable y entregable.

Suelta la colección completa

Un .bcf suelto, una carpeta de triaje extraída o un ZIP de KAPE / Velociraptor. El archivo se localiza en Windows\AppCompat\Programs y todo lo que no lo es se explica, no se ignora en silencio.

Marcas de triaje integradas

Los ejecutables en Temp, perfiles de usuario, ProgramData, la Papelera, otras letras de unidad o recursos de red se marcan para que lo raro salga primero.

Hecho para listas largas

Una cuadrícula virtualizada mantiene fluidas miles de filas. Redimensiona, ajusta o fija columnas; busca en todas las rutas mientras escribes.

Un espacio a pantalla completa

Tras el primer archivo, los resultados ocupan toda la ventana. Pulsa Esc para volver a esta página — el análisis sigue abierto.

Sesiones que sobreviven a una recarga

El análisis actual se guarda automáticamente en este navegador (IndexedDB). Ponle nombre a una sesión para conservarla y luego reábrela, renómbrala o elimínala.

Análisis honesto

Comprobación de la firma de cabecera, offsets y número de caracteres por registro, avisos de datos truncados o sobrantes y una exportación CSV o JSON limpia.

Cómo funciona

De la adquisición a una lista marcada en tres pasos.

  1. 01

    Adquirir

    Copia C:\Windows\AppCompat\Programs\RecentFileCache.bcf con un lector en bruto o recógelo con KAPE, junto con cada instantánea de volumen.

  2. 02

    Soltar

    Suelta aquí el archivo, la carpeta de la colección o su ZIP. El analizador se ejecuta en un Web Worker, íntegramente en tu equipo.

  3. 03

    Triar y exportar

    Filtra las rutas marcadas, guarda las importantes y exporta CSV o JSON para tu línea de tiempo.

Preguntas frecuentes

¿Se sube mi archivo a algún sitio?

No. El analizador está escrito en Rust, compilado a WebAssembly, y se ejecuta en tu navegador. Los archivos y las sesiones se quedan en este equipo; nada se envía a un servidor.

¿Qué versiones de Windows tienen RecentFileCache.bcf?

Windows 7 y Windows Server 2008 R2. Windows 8 y posteriores lo sustituyeron por Amcache.hve, así que un ZIP de un equipo con Windows 10 normalmente no lo contiene — el espacio de trabajo te lo indica.

¿Qué puedo soltar?

Un archivo RecentFileCache.bcf (con cualquier nombre — se reconoce por su firma), una carpeta o un ZIP de colección de KAPE o Velociraptor con compresión estándar o Deflate. Se pueden cargar varios equipos o instantáneas a la vez.

¿Una entrada prueba que el programa se ejecutó?

Muestra que el ejecutable pasó por el código de Experiencia con aplicaciones desde la última ejecución de ProgramDataUpdater: una pista sólida, no un veredicto. Las entradas no tienen marcas de tiempo; corrobora con Prefetch, Amcache, ShimCache y los registros de eventos.

¿Dónde se guardan las sesiones?

En el almacenamiento IndexedDB de este navegador. Incluyen los archivos .bcf cargados y tu vista (búsqueda, filtros, marcadores). Borrar los datos del sitio las elimina.

Herramientas relacionadas

Artefactos que responden a la siguiente pregunta del mismo caso.

Blog

Leer el blog
La tarea de evaluación de Application Experience: cuándo se escribe el BCF y cuándo se vacía
El ciclo de vida del BCF depende de una única tarea programada. Entiende cuándo se ejecuta ProgramDataUpdater, cuándo vacía el archivo y cómo detectar un appraiser deshabilitado.
recentfilecachescheduled-tasksdfirwindows-forensics
El formato de archivo RecentFileCache.bcf, en términos sencillos
El formato BCF es una cabecera, una lista de rutas UTF-16LE con prefijo de longitud, y se acabó. Aquí está lo que significa cada byte y por qué nada ha cambiado desde 2009.
recentfilecachefile-formatdfirwindows-forensics
Investigando un host Win7 con el BCF: un breve recorrido
Un endpoint Win7 marcado por el SOC, 14 rutas en el BCF, tres dignas de una segunda mirada. Una cadena de corroboración realista y cuánto contribuyó realmente el BCF.
recentfilecachedfircase-studywindows-forensics

¿Tienes una imagen de Windows 7 en la mesa?

Suelta su RecentFileCache.bcf — o la colección completa — y obtén una lista marcada en segundos.

Abrir el analizadorGuía completa de adquisición