RecentFileCache.bcf : fiche

Présentation

RecentFileCache.bcf est un petit fichier binaire tenu par le service Application Experience sous Windows 7 et Windows Server 2008 R2. Il liste les chemins complets des exécutables démarrés récemment, afin que l'inventaire de compatibilité puisse les examiner ensuite. C'est le prédécesseur d'Amcache.hve, qui l'a remplacé à partir de Windows 8.

Emplacement

Version de Windows	Chemin
7 / Server 2008 R2	`C:\Windows\AppCompat\Programs\RecentFileCache.bcf`
8 et ultérieures	Non utilisé (Amcache.hve à la place)

Sur les Windows 7 ayant reçu les mises à jour de compatibilité apportant Amcache, les deux fichiers peuvent coexister.

Ce que l'artefact prouve

Un exécutable situé au chemin indiqué a été lancé récemment, c'est-à-dire depuis le dernier traitement du cache.
Il est précieux pour les programmes lancés depuis un support amovible ou un dossier temporaire, qu'il enregistre avec leur chemin complet.
Il ne contient ni horodatage, ni compteur d'exécutions, ni information sur l'utilisateur.

Champs clés

Champ	Signification
En-tête	Signature et informations de format
Longueur d'entrée	Longueur du chemin qui suit, en caractères
Chemin	Chemin complet UTF-16 de l'exécutable (en minuscules en pratique)

C'est tout l'enregistrement : une liste de chemins.

Horodatages

Horodatage	Positionné quand	Format	Pièges
Aucun dans le fichier	—	—	Les entrées n'ont pas d'heure propre
Date de modification $SI du fichier	Dernière mise à jour du cache	NTFS, UTC	N'encadre que la dernière écriture ; utilisez la $MFT et le journal USN pour l'historique des écritures

Rétention et effacement

Le cache est vidé périodiquement lorsque la tâche d'inventaire Application Experience (ProgramDataUpdater) le traite ; il couvre donc en général une courte fenêtre d'exécutions récentes.
Du fait de cette fenêtre courte, il est surtout utile pour l'activité juste avant l'acquisition ; des entrées plus anciennes peuvent subsister dans les clichés instantanés du fichier.

Collecte

Cible KAPE : RecentFileCache
Velociraptor (Windows.Triage.Targets) : RecentFileCache
Commandes natives :

robocopy C:\Windows\AppCompat\Programs E:\case\AppCompat RecentFileCache.bcf /COPY:DAT

Outils d'analyse

RecentFileCacheParser (Eric Zimmerman) : RecentFileCacheParser.exe -f RecentFileCache.bcf --csv E:\out.
rfc.pl (script Perl de Corey Harrell) : affiche la liste des chemins.
Un éditeur hexadécimal suffit pour un coup d'œil : les chemins sont en UTF-16 lisible.

Conseils d'investigation

Chaque chemin est une piste : cherchez les exécutables dans \Users\<user>\AppData\Local\Temp\, \Users\Public\, sur des lettres de lecteurs amovibles et des chemins réseau.
Reportez chaque chemin dans la $MFT, ShimCache et le Prefetch pour ajouter des horodatages et confirmer l'exécution.
Si le binaire existe encore, triez-le comme un fichier PE (hash, signature, date de compilation).
Sur un Windows 7 disposant aussi d'Amcache, comparez les deux listes : un exécutable présent dans l'une mais pas dans l'autre resserre la période où il a tourné.

RecentFileCache.bcf

Outils