Artículos etiquetados: #dfir
El ciclo de vida del BCF depende de una única tarea programada. Entiende cuándo se ejecuta ProgramDataUpdater, cuándo vacía el archivo y cómo detectar un appraiser deshabilitado.
El formato BCF es una cabecera, una lista de rutas UTF-16LE con prefijo de longitud, y se acabó. Aquí está lo que significa cada byte y por qué nada ha cambiado desde 2009.
Un endpoint Win7 marcado por el SOC, 14 rutas en el BCF, tres dignas de una segunda mirada. Una cadena de corroboración realista y cuánto contribuyó realmente el BCF.
Sin marcas de tiempo, sin hashes, sin atribución de usuario, sin tracking de scripts. El RecentFileCache.bcf es más estrecho de lo que su reputación sugiere. Aquí está a qué echar mano.
Un artefacto breve y específico que solo existe en Windows 7 y Server 2008 R2, pero cuando lo tienes, es una de las pruebas más limpias de ejecución reciente en DFIR.
El BCF y el AmCache resuelven problemas que se solapan en distintas versiones de Windows. Saber cuál tienes, y por qué, decide qué puedes afirmar.
Guía práctica para extraer RecentFileCache.bcf en tres entornos: un endpoint Windows 7 en marcha, una imagen forense de disco y una Volume Shadow Copy.
Cómo los atacantes suprimen, envenenan o limpian RecentFileCache.bcf — y las señales en event log, tareas programadas y sistema de archivos que los pillan en el acto.
Guía práctica de las heurísticas de ruta, peculiaridades de basename y patrones de unidad que convierten una lista de rutas cacheadas en pistas de investigación.
Qué hacer cuando una entrada sospechosa sale a la superficie: cómo confirmar la ejecución, qué cruzar, y los patrones de falso positivo más frecuentes.
Recorriendo el servicio de Windows 7 y la tarea programada que escriben RecentFileCache.bcf, y qué significa ese ciclo de vida para las ventanas de triage.
Una lectura práctica del formato binario de RecentFileCache.bcf con un volcado hex, un registro decodificado y los casos límite que un parser tiene que manejar.
Cuatro artefactos Windows de evidence-of-execution lado a lado: qué almacena cada uno, qué no, y cuál abrir primero.
Una breve introducción al artefacto AppCompat de Windows 7: dónde vive, qué registra y por qué sigue apareciendo en casos de triage en 2026.