Glossar
TaskCache
Der Registry-Schlüssel im SOFTWARE-Hive, in dem der Aufgabenplanungsdienst seine Kopie jeder registrierten Aufgabe hält: Tree, Tasks und Kategorie-Unterschlüssel.
TaskCache ist HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache. Sein Unterschlüssel Tree enthält einen Schlüssel pro Aufgabenpfad mit der GUID der Aufgabe (Id), einer Kategorie (Index) und einer Sicherheitsbeschreibung (SD). Die Unterschlüssel Tasks\{GUID} enthalten die Aufgabendaten: Pfad, Autor, Datum, Hash, binäre Aktionen und Trigger sowie die Ausführungszeiten in DynamicInfo. Boot, Logon, Plain und Maintenance listen Aufgaben-GUIDs nach Kategorie (cyber.wtf).
Eine Aufgabe kann im TaskCache überdauern, nachdem ihre XML-Datei gelöscht wurde, was den Schlüssel für jede Untersuchung unverzichtbar macht. Siehe TaskCache-Forensik in der Registry.