Skip to content
Scheduled Tasks
TarraskFindet versteckte Aufgaben à la Tarrask — TaskCache vs. XML

Scheduled Tasks Parser

Alle geplanten Aufgaben eines Windows-Rechners: die XML-Definitionen, der TaskCache im SOFTWARE-Hive und ältere .job-Dateien, abgeglichen, damit versteckte, gelöschte und manipulierte Aufgaben auffallen. Die Auswertung läuft per WebAssembly im Browser — nichts wird hochgeladen.

Parser öffnenDateien richtig sichern
  • System32\Tasks
  • TaskCache
  • .job
  • Rust → WebAssembly

Tasks-Ordner, SOFTWARE-Hive oder Triage-ZIP hier ablegen

Aufgaben-XML-Dateien aus C:\Windows\System32\Tasks, ältere .job-Dateien aus C:\Windows\Tasks und der SOFTWARE-Hive (TaskCache). Fügen Sie Ordner und Hive hinzu: Die interessanten Befunde ergeben sich aus dem Vergleich. KAPE- und Velociraptor-Sammlungen funktionieren unverändert.

Eine synthetische Sammlung aus einem fiktiven Angriff — keine echten Daten, harmlose Platzhalterbefehle. Tipp: Nach Schweregrad sortieren, dann \SyncBackup öffnen und den Zeitraum darauf zentrieren (±1 h).

100 % clientseitig: Die Dateien werden per WebAssembly im Browser ausgewertet und nie hochgeladen.

So kommen Sie an die Daten

Vollständiger Leitfaden zur Sicherung

Sie benötigen zwei Dinge vom Rechner: den Tasks-Ordner (Aufgaben-XML-Dateien plus ältere .job-Dateien) und den SOFTWARE-Hive der Registry, der den TaskCache enthält. Sichern Sie beides und legen Sie dann den Ordner oder das ZIP hier ab.

  1. Tasks-Ordner und SOFTWARE-Hive sichern
  2. Ordner oder ZIP hier ablegen
  3. Auswertung im Browser, kein Upload

In eine als Administrator ausgeführte Windows PowerShell einfügen. Der Befehl kopiert beide Tasks-Ordner und speichert mit reg save eine konsistente Kopie des SOFTWARE-Hives (einschließlich der noch in den Transaktionslogs ausstehenden Änderungen) nach C:\triage.

PowerShell · Admin
New-Item -ItemType Directory -Force -Path C:\triage\Windows\System32\config | Out-Null
robocopy C:\Windows\System32\Tasks C:\triage\Windows\System32\Tasks /E /B /R:0 /W:0 /NP /NDL /NFL
robocopy C:\Windows\Tasks C:\triage\Windows\Tasks *.job /B /R:0 /W:0 /NP /NDL /NFL
reg save HKLM\SOFTWARE C:\triage\Windows\System32\config\SOFTWARE /y

Ergebnis: C:\triage\Windows\System32\Tasks, C:\triage\Windows\Tasks und C:\triage\Windows\System32\config\SOFTWARE — dieselbe Struktur wie auf dem Datenträger, sodass das Tool Dateien und Registry pro Rechner zuordnen kann. Legen Sie den Ordner C:\triage hier ab.

Analyse auf einem anderen Rechner? Packen Sie alles mit dem in Windows 10 1803 und neuer integrierten tar.exe in ein ZIP (ein mit Compress-Archive erstelltes ZIP funktioniert ebenfalls):

PowerShell / cmd
tar -a -c -f C:\triage\tasks.zip -C C:\triage Windows

Stolperfallen

  • Kopieren Sie den gesamten Tasks-Ordner, nicht nur die verdächtigen Aufgaben: „Nur Registry“ (gelöschtes XML) lässt sich nur markieren, wenn der Ordner vollständig ist.
  • Eine einfache Kopie von SOFTWARE schlägt fehl, solange Windows läuft, und manche Tools liefern eine Datei voller Nullen: Verwenden Sie reg save, KAPE, Velociraptor oder eine Rohkopie samt .LOG1-/.LOG2-Dateien.
  • XML-Datumsangaben und Trigger-Zeiten sind lokale Zeit ohne Zeitzone. Das Tool leitet den Versatz aus den TaskCache-Zeiten ab; notieren Sie trotzdem die Zeitzone des Rechners.

Was sind geplante Aufgaben unter Windows?

Die Aufgabenplanung startet Programme beim Systemstart, bei der Anmeldung, nach Zeitplan, bei einem Ereignis oder im Leerlauf. Windows bringt Hunderte eigener Aufgaben mit, und Software-Installer fügen weitere hinzu. Zugleich ist sie einer der häufigsten Wege, auf denen Angreifer ihren Zugriff auf einen Rechner sichern (MITRE ATT&CK T1053.005).

Jede Aufgabe existiert an zwei Stellen: als XML-Definition auf dem Datenträger und als Cache im SOFTWARE-Hive der Registry, den die Aufgabenplanung tatsächlich lädt. Durch den Vergleich beider findet man Aufgaben, die versteckt, manipuliert oder deren Dateien gelöscht wurden.

Wo die Spuren liegen

  • C:\Windows\System32\Tasks\ — eine XML-Datei pro Aufgabe (UTF-16LE, ohne Endung): Autor, Registrierungsdatum, Trigger, ausführendes Konto, Einstellungen und Aktionen (Befehlszeile, COM-Handler).
  • SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache — Tree (Aufgabenpfade mit den Werten Id, Index und SD) und Tasks\{GUID} (Path, Hash, Actions, Triggers und DynamicInfo mit FILETIMEs für Erstellung und letzte Ausführung).
  • C:\Windows\Tasks\*.job — ältere Jobs der Aufgabenplanung 1.0: Anwendung, Parameter, Autor, Zeitpunkt der letzten Ausführung.
  • Zugehörige Logs (hier nicht ausgewertet): Security-Event-IDs 4698–4702, wenn die Überwachung des Objektzugriffs aktiv ist, sowie Microsoft-Windows-TaskScheduler/Operational (106 registriert, 140 aktualisiert, 141 gelöscht, 200/201 Aktion gestartet/abgeschlossen).

Was dieses Tool prüft

  • Versteckte Aufgaben: ein Tree-Eintrag im TaskCache ohne SD-Wert (die „Tarrask“-Technik) — unsichtbar für schtasks und die Konsole, wird aber weiter ausgeführt.
  • Gelöschte oder platzierte Dateien: registrierte Aufgaben ohne XML-Datei und XML-Dateien ohne Registrierung; nach der Registrierung bearbeitete XML-Dateien (TaskCache-Hash) und Registry-Aktionen, die von der Datei abweichen.
  • Verdächtige Inhalte: kodiertes PowerShell (für Sie dekodiert), LOLBins, Befehle in vom Benutzer beschreibbaren Pfaden oder Netzwerkpfaden, SYSTEM oder höchste Privilegien bei Nicht-Microsoft-Aufgaben, versteckte Nicht-Microsoft-Aufgaben, zufällig wirkende Namen und kürzlich registrierte Aufgaben.
  • Zeitstempel: Registrierungsdatum, Erstellung im TaskCache, letzte Ausführung und letzte erfolgreiche Ausführung, Startgrenzen der Trigger und letzte Schreibzugriffe auf Registry-Schlüssel, auf einer gemeinsamen, filterbaren Zeitleiste.

Einschränkungen

  • Registry-Transaktionslogs werden nicht eingespielt: Ein „dirty“ Hive wird markiert, aber Änderungen, die noch in SOFTWARE.LOG1/LOG2 stehen, fehlen.
  • Die Binärwerte im TaskCache (DynamicInfo, Actions, Triggers) sind nicht dokumentiert; ihre Struktur stammt aus öffentlichem Reverse Engineering. Dekodiert werden nur der Triggers-Header und der Principal, nicht jeder einzelne Trigger-Datensatz.
  • XML-Datumsangaben, Trigger-Zeiten und .job-Zeiten sind lokale Zeit ohne Zeitzone; der Versatz wird nach Möglichkeit abgeleitet und angezeigt.
  • Gelöschte Registry-Schlüssel und gelöschte XML-Dateien werden nicht per Carving wiederhergestellt; dafür sind die Ereignisprotokolle und Volumeschattenkopien die richtigen Anlaufstellen.

So kommen Sie an die Dateien

  • Sichern Sie C:\Windows\System32\Tasks (und C:\Windows\Tasks) sowie den SOFTWARE-Hive mit KAPE (ScheduledTasks + RegistryHivesSystem), Velociraptor (Windows.Triage.Targets) oder mit reg save und einer Kopie des Ordners.
  • Behalten Sie die Ordnerstruktur bei (…\Windows\System32\Tasks, …\Windows\System32\config\SOFTWARE), damit Aufgaben dem richtigen Hive zugeordnet werden, wenn ein ZIP mehrere Rechner enthält.
  • Sichern Sie den vollständigen Tasks-Ordner: Fehlende XML-Dateien werden nur markiert, wenn die meisten registrierten Aufgaben ihre Datei haben.

FAQ

Werden meine Dateien irgendwohin hochgeladen?

Nein. Der Parser — einschließlich seiner Registry- und XML-Leser — ist in Rust geschrieben, nach WebAssembly kompiliert und läuft in einem Web Worker in Ihrem Browser. Es gibt keinen Upload-Endpunkt.

Wie findet das Tool versteckte (Tarrask-)Aufgaben?

Die Aufgabenplanung listet eine Aufgabe nur, wenn ihr TaskCache\Tree-Schlüssel einen SD-Wert (Sicherheitsbeschreibung) hat. Schadsoftware mit SYSTEM-Rechten kann diesen Wert löschen: Die Aufgabe verschwindet aus schtasks und der Konsole, läuft aber weiter. Das Tool markiert jeden Tree-Schlüssel mit Aufgaben-Id, aber ohne SD, und zeigt den Zeitpunkt des letzten Schreibzugriffs auf den Schlüssel.

Warum brauche ich sowohl den Tasks-Ordner als auch den SOFTWARE-Hive?

Jeder erzählt die halbe Geschichte. Die XML-Datei ist die lesbare Definition; der TaskCache ist das, was die Aufgabenplanung tatsächlich lädt. Registrierte Aufgaben ohne XML-Datei, nie registrierte Dateien, nach der Registrierung bearbeitete XML-Dateien und Registry-Aktionen, die von der Datei abweichen, zeigen sich nur im Vergleich beider.

Warum sind die Zeiten verschoben?

Windows schreibt das Registrierungsdatum und die Trigger-Zeiten im Aufgaben-XML als lokale Zeit ohne Zeitzone, während TaskCache-Zeiten in UTC vorliegen. Das Tool leitet den Versatz des Rechners ab, indem es beide für dieselben Aufgaben vergleicht, und Sie können ihn selbst festlegen.

Ist eine markierte Aufgabe bösartig?

Nicht unbedingt. Befunde sind Hinweise für die Triage: Updater von Drittanbietern laufen als SYSTEM aus ProgramData, manche Verwaltungstools nutzen kodiertes PowerShell. Lesen Sie die Erläuterung zu jedem Befund und prüfen Sie ihn anhand weiterer Artefakte.

Blog

Zum Blog
Geplante Aufgaben im Browser analysieren: Fallbeispiel
Schritt für Schritt: Task-XML, .job-Dateien und SOFTWARE-Hive im kostenlosen Browser-Parser auswerten, versteckte Tasks finden, Zeitzonen klären, exportieren.
scheduled-taskstoolscase-studydfir
Bösartige geplante Aufgaben erkennen: Persistenz-Triage
Checkliste für bösartige geplante Aufgaben: beschreibbare Pfade, kodiertes PowerShell, LOLBins, SYSTEM, Zufallsnamen, versteckte Tasks, XML/Registry-Abweichungen.
scheduled-taskspersistencethreat-huntingdfir
Tarrask: versteckte geplante Aufgaben erkennen
Wie Tarrask geplante Aufgaben durch Löschen des TaskCache-Werts SD versteckte, welche Varianten es gibt und wie Sie versteckte Aufgaben offline im SOFTWARE-Hive finden.
scheduled-taskstarraskdefense-evasiontaskcache