Búsqueda
Busca en todos los artículos del blog RecentFileCache Parser. Filtra por etiqueta, título o palabra clave en la cobertura DFIR de Windows.
La tarea de evaluación de Application Experience: cuándo se escribe el BCF y cuándo se vacía
El ciclo de vida del BCF depende de una única tarea programada. Entiende cuándo se ejecuta ProgramDataUpdater, cuándo vacía el archivo y cómo detectar un appraiser deshabilitado.
El formato de archivo RecentFileCache.bcf, en términos sencillos
El formato BCF es una cabecera, una lista de rutas UTF-16LE con prefijo de longitud, y se acabó. Aquí está lo que significa cada byte y por qué nada ha cambiado desde 2009.
Investigando un host Win7 con el BCF: un breve recorrido
Un endpoint Win7 marcado por el SOC, 14 rutas en el BCF, tres dignas de una segunda mirada. Una cadena de corroboración realista y cuánto contribuyó realmente el BCF.
Límites del BCF: cuándo no te dice nada, y qué usar en su lugar
Sin marcas de tiempo, sin hashes, sin atribución de usuario, sin tracking de scripts. El RecentFileCache.bcf es más estrecho de lo que su reputación sugiere. Aquí está a qué echar mano.
RecentFileCache.bcf: el artefacto silencioso que la mayoría de analistas olvida
Un artefacto breve y específico que solo existe en Windows 7 y Server 2008 R2, pero cuando lo tienes, es una de las pruebas más limpias de ejecución reciente en DFIR.
RecentFileCache vs AmCache: cuál está en tu host y por qué
El BCF y el AmCache resuelven problemas que se solapan en distintas versiones de Windows. Saber cuál tienes, y por qué, decide qué puedes afirmar.
Adquirir RecentFileCache.bcf desde sistemas en vivo y offline
Guía práctica para extraer RecentFileCache.bcf en tres entornos: un endpoint Windows 7 en marcha, una imagen forense de disco y una Volume Shadow Copy.
Detectando tampering de RecentFileCache
Cómo los atacantes suprimen, envenenan o limpian RecentFileCache.bcf — y las señales en event log, tareas programadas y sistema de archivos que los pillan en el acto.
Triaje: detectar entradas sospechosas en RecentFileCache
Guía práctica de las heurísticas de ruta, peculiaridades de basename y patrones de unidad que convierten una lista de rutas cacheadas en pistas de investigación.
Validar hallazgos de RecentFileCache: pivotes y falsos positivos
Qué hacer cuando una entrada sospechosa sale a la superficie: cómo confirmar la ejecución, qué cruzar, y los patrones de falso positivo más frecuentes.
Application Experience y ProgramDataUpdater: cómo se llena .bcf
Recorriendo el servicio de Windows 7 y la tarea programada que escriben RecentFileCache.bcf, y qué significa ese ciclo de vida para las ventanas de triage.
El formato .bcf, byte a byte
Una lectura práctica del formato binario de RecentFileCache.bcf con un volcado hex, un registro decodificado y los casos límite que un parser tiene que manejar.
RecentFileCache vs Amcache vs Prefetch vs ShimCache
Cuatro artefactos Windows de evidence-of-execution lado a lado: qué almacena cada uno, qué no, y cuál abrir primero.
¿Qué es RecentFileCache.bcf?
Una breve introducción al artefacto AppCompat de Windows 7: dónde vive, qué registra y por qué sigue apareciendo en casos de triage en 2026.