Skip to content
RecentFileCache

Artículos etiquetados: #program-execution

← Volver a los artículos
La tarea de evaluación de Application Experience: cuándo se escribe el BCF y cuándo se vacía
El ciclo de vida del BCF depende de una única tarea programada. Entiende cuándo se ejecuta ProgramDataUpdater, cuándo vacía el archivo y cómo detectar un appraiser deshabilitado.
recentfilecachescheduled-tasksdfirwindows-forensics
Límites del BCF: cuándo no te dice nada, y qué usar en su lugar
Sin marcas de tiempo, sin hashes, sin atribución de usuario, sin tracking de scripts. El RecentFileCache.bcf es más estrecho de lo que su reputación sugiere. Aquí está a qué echar mano.
recentfilecachedfirwindows-forensicsartifact-limitations
RecentFileCache.bcf: el artefacto silencioso que la mayoría de analistas olvida
Un artefacto breve y específico que solo existe en Windows 7 y Server 2008 R2, pero cuando lo tienes, es una de las pruebas más limpias de ejecución reciente en DFIR.
recentfilecachewindows-forensicsdfirprogram-execution
RecentFileCache vs AmCache: cuál está en tu host y por qué
El BCF y el AmCache resuelven problemas que se solapan en distintas versiones de Windows. Saber cuál tienes, y por qué, decide qué puedes afirmar.
recentfilecacheamcachewindows-forensicsdfir