Blog
Notes DFIR sur les artefacts Windows AppCompat — RecentFileCache.bcf, Amcache, Prefetch, ShimCache — avec des recettes de triage concrètes.
Le cycle de vie du BCF tient en une seule tâche planifiée. Comprenez quand ProgramDataUpdater s'exécute, quand il vide le fichier, et comment repérer un appraiser désactivé.
Le format BCF est un en-tête, une liste de chemins UTF-16LE préfixés de leur longueur, et c'est tout. Voici ce que signifie chaque octet et pourquoi rien n'a changé depuis 2009.
Un endpoint Win7 signalé par le SOC, 14 chemins dans le BCF, trois méritant un second regard. Une chaîne de corroboration réaliste et combien le BCF a réellement contribué.
Pas d'horodatages, pas de hashes, pas d'attribution utilisateur, pas de tracking de script. Le RecentFileCache.bcf est plus étroit que sa réputation. Voici ce vers quoi se tourner.
Un artefact court, spécifique, qui n'existe que sur Windows 7 et Server 2008 R2, mais quand vous l'avez, c'est l'une des preuves les plus propres d'exécution récente en DFIR.
Le BCF et l'AmCache résolvent des problèmes qui se chevauchent sur des versions différentes de Windows. Savoir lequel vous avez, et pourquoi, décide de ce que vous pouvez affirmer.
Guide pratique pour extraire RecentFileCache.bcf dans trois cadres : un endpoint Windows 7 en marche, une image forensique de disque et une Volume Shadow Copy.
Comment les attaquants suppriment, empoisonnent ou wipent RecentFileCache.bcf — et les signaux d’event log, de tâche planifiée et de système de fichiers qui les attrapent.
Guide pratique des heuristiques de chemin et des motifs de basename qui transforment une liste de chemins en cache en pistes d’enquête concrètes.