Articles tagués: #windows-forensics
Le cycle de vie du BCF tient en une seule tâche planifiée. Comprenez quand ProgramDataUpdater s'exécute, quand il vide le fichier, et comment repérer un appraiser désactivé.
Le format BCF est un en-tête, une liste de chemins UTF-16LE préfixés de leur longueur, et c'est tout. Voici ce que signifie chaque octet et pourquoi rien n'a changé depuis 2009.
Un endpoint Win7 signalé par le SOC, 14 chemins dans le BCF, trois méritant un second regard. Une chaîne de corroboration réaliste et combien le BCF a réellement contribué.
Pas d'horodatages, pas de hashes, pas d'attribution utilisateur, pas de tracking de script. Le RecentFileCache.bcf est plus étroit que sa réputation. Voici ce vers quoi se tourner.
Un artefact court, spécifique, qui n'existe que sur Windows 7 et Server 2008 R2, mais quand vous l'avez, c'est l'une des preuves les plus propres d'exécution récente en DFIR.
Le BCF et l'AmCache résolvent des problèmes qui se chevauchent sur des versions différentes de Windows. Savoir lequel vous avez, et pourquoi, décide de ce que vous pouvez affirmer.
Guide pratique pour extraire RecentFileCache.bcf dans trois cadres : un endpoint Windows 7 en marche, une image forensique de disque et une Volume Shadow Copy.
Comment les attaquants suppriment, empoisonnent ou wipent RecentFileCache.bcf — et les signaux d’event log, de tâche planifiée et de système de fichiers qui les attrapent.
Guide pratique des heuristiques de chemin et des motifs de basename qui transforment une liste de chemins en cache en pistes d’enquête concrètes.
Quoi faire après qu’une entrée suspecte fait surface : confirmer l’exécution, quoi croiser, et les motifs de faux positifs qui prennent les analystes au dépourvu.
Parcours du service Windows 7 et de la tâche planifiée qui écrivent RecentFileCache.bcf, et ce que ce cycle de vie implique pour les fenêtres de triage.
Une lecture pratique du format binaire RecentFileCache.bcf avec un dump hexadécimal, un enregistrement décodé et les cas limites qu'un parser doit gérer.
Quatre artefacts Windows d’evidence-of-execution côte à côte : ce que chacun stocke, ce qu’il ne stocke pas, et lequel ouvrir en premier.
Une courte introduction à l'artefact AppCompat de Windows 7 : où il vit, ce qu'il enregistre, et pourquoi il refait surface dans les dossiers de triage en 2026.