Series
Comprendre RecentFileCache.bcf
8 posts in this series. Read them in order or jump to any one.
- Qu'est-ce que RecentFileCache.bcf ?
Une courte introduction à l'artefact AppCompat de Windows 7 : où il vit, ce qu'il enregistre, et pourquoi il refait surface dans les dossiers de triage en 2026.
- Le format .bcf, octet par octet
Une lecture pratique du format binaire RecentFileCache.bcf avec un dump hexadécimal, un enregistrement décodé et les cas limites qu'un parser doit gérer.
- Application Experience et ProgramDataUpdater : comment .bcf est rempli
Parcours du service Windows 7 et de la tâche planifiée qui écrivent RecentFileCache.bcf, et ce que ce cycle de vie implique pour les fenêtres de triage.
- RecentFileCache vs Amcache vs Prefetch vs ShimCache
Quatre artefacts Windows d’evidence-of-execution côte à côte : ce que chacun stocke, ce qu’il ne stocke pas, et lequel ouvrir en premier.
- Acquérir RecentFileCache.bcf depuis des systèmes vivants et hors-ligne
Guide pratique pour extraire RecentFileCache.bcf dans trois cadres : un endpoint Windows 7 en marche, une image forensique de disque et une Volume Shadow Copy.
- Triage : repérer les entrées suspectes dans RecentFileCache
Guide pratique des heuristiques de chemin et des motifs de basename qui transforment une liste de chemins en cache en pistes d’enquête concrètes.
- Valider les findings RecentFileCache : pivots et faux positifs
Quoi faire après qu’une entrée suspecte fait surface : confirmer l’exécution, quoi croiser, et les motifs de faux positifs qui prennent les analystes au dépourvu.
- Détecter le tampering de RecentFileCache
Comment les attaquants suppriment, empoisonnent ou wipent RecentFileCache.bcf — et les signaux d’event log, de tâche planifiée et de système de fichiers qui les attrapent.