Series
Grundlagen geplanter Aufgaben
5 posts in this series. Read them in order or jump to any one.
- Forensik geplanter Aufgaben in Windows: Der Leitfaden
Forensik geplanter Aufgaben von A bis Z: Task-XML-Dateien, der Registry-Schlüssel TaskCache, alte .job-Dateien und Ereignisprotokolle und wie Sie sie korrelieren.
- Wo liegen geplante Aufgaben? Speicherorte und Sicherung
Alle Orte, an denen Windows geplante Aufgaben ablegt: System32\Tasks, SysWOW64\Tasks, C:\Windows\Tasks und TaskCache, plus Sicherung mit KAPE oder Velociraptor.
- XML geplanter Aufgaben erklärt, Element für Element
Task-XML lesen wie ein Forensiker: RegistrationInfo, Triggers, Principals, Settings und Actions sowie die Ortszeiten ohne Zeitzone in Date und StartBoundary.
- TaskCache-Forensik: Tree, Tasks und DynamicInfo
Was der TaskCache-Schlüssel im SOFTWARE-Hive zu jeder geplanten Aufgabe speichert: Tree mit Id/Index/SD, Tasks-Werte, DynamicInfo, Actions, Triggers und Hash.
- .job-Dateien Forensik: Legacy-Aufgaben in Windows\Tasks
So lesen Sie alte .job-Dateien: fester und variabler Teil nach MS-TSCH, Trigger, letzte Ausführung als SYSTEMTIME in Ortszeit und .job-Dateien unter modernem Windows.