Recherche
Recherchez dans tous les articles du blog RecentFileCache Parser. Filtrez par tag, titre ou mot-clé à travers la couverture DFIR Windows.
La tâche d'évaluation Application Experience : quand le BCF est écrit, et quand il est vidé
Le cycle de vie du BCF tient en une seule tâche planifiée. Comprenez quand ProgramDataUpdater s'exécute, quand il vide le fichier, et comment repérer un appraiser désactivé.
Le format de fichier RecentFileCache.bcf, en termes simples
Le format BCF est un en-tête, une liste de chemins UTF-16LE préfixés de leur longueur, et c'est tout. Voici ce que signifie chaque octet et pourquoi rien n'a changé depuis 2009.
Enquêter sur un hôte Win7 avec le BCF : un court walkthrough
Un endpoint Win7 signalé par le SOC, 14 chemins dans le BCF, trois méritant un second regard. Une chaîne de corroboration réaliste et combien le BCF a réellement contribué.
Limites du BCF : quand il ne vous dit rien, et que prendre à la place
Pas d'horodatages, pas de hashes, pas d'attribution utilisateur, pas de tracking de script. Le RecentFileCache.bcf est plus étroit que sa réputation. Voici ce vers quoi se tourner.
RecentFileCache.bcf : l'artefact discret que la plupart des analystes oublient
Un artefact court, spécifique, qui n'existe que sur Windows 7 et Server 2008 R2, mais quand vous l'avez, c'est l'une des preuves les plus propres d'exécution récente en DFIR.
RecentFileCache vs AmCache : lequel est sur votre hôte, et pourquoi
Le BCF et l'AmCache résolvent des problèmes qui se chevauchent sur des versions différentes de Windows. Savoir lequel vous avez, et pourquoi, décide de ce que vous pouvez affirmer.
Acquérir RecentFileCache.bcf depuis des systèmes vivants et hors-ligne
Guide pratique pour extraire RecentFileCache.bcf dans trois cadres : un endpoint Windows 7 en marche, une image forensique de disque et une Volume Shadow Copy.
Détecter le tampering de RecentFileCache
Comment les attaquants suppriment, empoisonnent ou wipent RecentFileCache.bcf — et les signaux d’event log, de tâche planifiée et de système de fichiers qui les attrapent.
Triage : repérer les entrées suspectes dans RecentFileCache
Guide pratique des heuristiques de chemin et des motifs de basename qui transforment une liste de chemins en cache en pistes d’enquête concrètes.
Valider les findings RecentFileCache : pivots et faux positifs
Quoi faire après qu’une entrée suspecte fait surface : confirmer l’exécution, quoi croiser, et les motifs de faux positifs qui prennent les analystes au dépourvu.
Application Experience et ProgramDataUpdater : comment .bcf est rempli
Parcours du service Windows 7 et de la tâche planifiée qui écrivent RecentFileCache.bcf, et ce que ce cycle de vie implique pour les fenêtres de triage.
Le format .bcf, octet par octet
Une lecture pratique du format binaire RecentFileCache.bcf avec un dump hexadécimal, un enregistrement décodé et les cas limites qu'un parser doit gérer.
RecentFileCache vs Amcache vs Prefetch vs ShimCache
Quatre artefacts Windows d’evidence-of-execution côte à côte : ce que chacun stocke, ce qu’il ne stocke pas, et lequel ouvrir en premier.
Qu'est-ce que RecentFileCache.bcf ?
Une courte introduction à l'artefact AppCompat de Windows 7 : où il vit, ce qu'il enregistre, et pourquoi il refait surface dans les dossiers de triage en 2026.