Skip to content
RecentFileCache

Windows 7 · AppCompat · 100 % local

Parseur RecentFileCache.bcf, dans votre navigateur.

Glissez un fichier RecentFileCache.bcf de Windows 7 pour inspecter les chemins en cache. L’analyse est 100 % locale grâce à WebAssembly — vos preuves ne quittent jamais votre poste.

  • Aucun envoi — WebAssembly dans votre navigateur
  • Déposez un .bcf, un dossier ou un ZIP KAPE / Velociraptor
  • Les sessions restent dans ce navigateur
  • Export CSV et JSON

Parseur RecentFileCache

Déposez un RecentFileCache.bcf, un dossier de triage ou un ZIP KAPE / Velociraptor ici, ou cliquez pour choisir.

Choisir un fichier

L’analyse est 100 % côté client via WebAssembly. Le fichier n’est jamais envoyé.

RecentFileCache.bcf synthétique (Windows 7) issu d'une intrusion fictive — aucune donnée réelle. Cet artefact n'existe que sous Windows 7 / Server 2008 R2 (remplacé par Amcache.hve depuis Windows 8).

Comment récupérer vos données

D’un poste Windows 7 aux résultats en deux minutes environ. Prenez la première méthode qui convient : chaque commande est prête à coller.

  1. 1CollecterLancez une commande sur la machine
  2. 2DéposerDéposez le fichier, le dossier C:\triage ou le ZIP ici
  3. 3Reste en localAnalysé dans votre navigateur, jamais envoyé

Prérequis : Windows 7 ou Server 2008 R2, PowerShell (la version 64 bits par défaut) lancé avec « Exécuter en tant qu’administrateur ».

Fichier actuel, via un cliché instantané temporaire

Le fichier est maintenu ouvert : la commande crée un cliché de C:, en copie RecentFileCache.bcf dans C:\triage, puis supprime le cliché.

PowerShell
New-Item -ItemType Directory -Force C:\triage | Out-Null
$s = ([wmiclass]'Win32_ShadowCopy').Create('C:\', 'ClientAccessible')
$sc = Get-WmiObject Win32_ShadowCopy -Filter "ID='$($s.ShadowID)'"
cmd /c copy /b /y "$($sc.DeviceObject)\Windows\AppCompat\Programs\RecentFileCache.bcf" C:\triage\RecentFileCache.bcf
$sc.Delete()

En plus : les anciennes versions des clichés existants

Chaque cliché contient sa propre copie, souvent avec des entrées déjà purgées du fichier actuel. Enregistrées sous RecentFileCache_HarddiskVolumeShadowCopyN.bcf ; les clichés d’autres lecteurs affichent simplement « chemin introuvable ».

PowerShell
New-Item -ItemType Directory -Force C:\triage | Out-Null
Get-WmiObject Win32_ShadowCopy | ForEach-Object { $n = $_.DeviceObject.Split('\')[-1]; cmd /c copy /b /y "$($_.DeviceObject)\Windows\AppCompat\Programs\RecentFileCache.bcf" "C:\triage\RecentFileCache_$n.bcf" }

Déposez ensuite le dossier C:\triage (ou les fichiers .bcf) sur cette page. Plusieurs copies se chargent côte à côte.

Pièges

  • Une copie classique du fichier actif échoue : il est maintenu ouvert. Une copie de 0 octet ou remplie de zéros signifie que la copie a échoué, et cette page le signale.
  • Windows 7 / Server 2008 R2 uniquement. Une machine Windows 8+ n’a pas de RecentFileCache.bcf : collectez Amcache.hve à la place.
  • Réécrit à chaque exécution de ProgramDataUpdater et sans horodatage par entrée : collectez tôt, gardez les clichés instantanés et le LastWriteTime du fichier.
Guide d’acquisition complet →
Illustration avec des chemins d’exemple — pas de vraies preuves.

Pourquoi les analystes l’utilisent

L’appel que Windows 7 a tenu, prêt pour le triage.

RecentFileCache.bcf est la liste des programmes repérés par le service Expérience d’application depuis sa dernière synchronisation. Cet espace de travail la rend consultable, filtrable et transmissible.

Déposez toute la collecte

Un simple .bcf, un dossier de triage extrait ou un ZIP KAPE / Velociraptor. Le fichier est retrouvé sous Windows\AppCompat\Programs, et tout ce qui n’en est pas un est expliqué, pas ignoré en silence.

Signalements intégrés

Les exécutables dans Temp, les profils utilisateur, ProgramData, la Corbeille, d’autres lettres de lecteur ou des partages réseau sont signalés pour faire ressortir les intrus.

Pensé pour les longues listes

Une grille virtualisée reste fluide sur des milliers de lignes. Redimensionnez, ajustez ou épinglez les colonnes ; recherchez dans tous les chemins en direct.

Un espace plein écran

Dès le premier fichier, les résultats occupent toute la fenêtre. Échap vous ramène à cette page — l’analyse reste ouverte.

Des sessions qui survivent au rechargement

L’analyse en cours est enregistrée automatiquement dans ce navigateur (IndexedDB). Nommez une session pour la garder, puis rouvrez-la, renommez-la ou supprimez-la.

Un parsing honnête

Vérification de la signature d’en-tête, offsets et nombres de caractères par entrée, avertissements pour les données tronquées ou résiduelles, export CSV ou JSON propre.

Fonctionnement

De l’acquisition à une liste annotée en trois étapes.

  1. 01

    Acquérir

    Copiez C:\Windows\AppCompat\Programs\RecentFileCache.bcf en lecture brute ou collectez-le avec KAPE, avec chaque cliché instantané.

  2. 02

    Déposer

    Déposez le fichier, le dossier de collecte ou son ZIP ici. Le parseur tourne dans un Web Worker, entièrement sur votre poste.

  3. 03

    Trier et exporter

    Filtrez les chemins signalés, marquez ceux qui comptent, puis exportez en CSV ou JSON pour votre chronologie.

Questions fréquentes

Mon fichier est-il envoyé quelque part ?

Non. Le parseur est écrit en Rust, compilé en WebAssembly, et s’exécute dans votre navigateur. Les fichiers et les sessions restent sur ce poste ; rien n’est envoyé à un serveur.

Quelles versions de Windows ont RecentFileCache.bcf ?

Windows 7 et Windows Server 2008 R2. Windows 8 et suivants l’ont remplacé par Amcache.hve : un ZIP d’un hôte Windows 10 n’en contient généralement pas — l’espace de travail vous le signale.

Que puis-je déposer ?

Un fichier RecentFileCache.bcf (quel que soit son nom — il est reconnu par sa signature), un dossier, ou un ZIP de collecte KAPE ou Velociraptor en compression standard ou Deflate. Plusieurs hôtes ou clichés peuvent être chargés côte à côte.

Une entrée prouve-t-elle l’exécution ?

Elle montre que l’exécutable est passé par le code de l’Expérience d’application depuis la dernière exécution de ProgramDataUpdater — une piste solide, pas un verdict. Aucune entrée n’est horodatée ; corroborez avec Prefetch, Amcache, ShimCache et les journaux.

Où sont stockées les sessions ?

Dans le stockage IndexedDB de ce navigateur. Elles contiennent les fichiers .bcf chargés et votre vue (recherche, filtres, marque-pages). Effacer les données du site les supprime.

Outils associés

Les artefacts qui répondent à la question suivante de la même enquête.

Blog

Lire le blog
La tâche d'évaluation Application Experience : quand le BCF est écrit, et quand il est vidé
Le cycle de vie du BCF tient en une seule tâche planifiée. Comprenez quand ProgramDataUpdater s'exécute, quand il vide le fichier, et comment repérer un appraiser désactivé.
recentfilecachescheduled-tasksdfirwindows-forensics
Le format de fichier RecentFileCache.bcf, en termes simples
Le format BCF est un en-tête, une liste de chemins UTF-16LE préfixés de leur longueur, et c'est tout. Voici ce que signifie chaque octet et pourquoi rien n'a changé depuis 2009.
recentfilecachefile-formatdfirwindows-forensics
Enquêter sur un hôte Win7 avec le BCF : un court walkthrough
Un endpoint Win7 signalé par le SOC, 14 chemins dans le BCF, trois méritant un second regard. Une chaîne de corroboration réaliste et combien le BCF a réellement contribué.
recentfilecachedfircase-studywindows-forensics

Une image Windows 7 sur votre banc ?

Déposez son RecentFileCache.bcf — ou toute la collecte — et obtenez une liste annotée en quelques secondes.

Ouvrir le parseurGuide d’acquisition complet