Glossaire
TaskCache
La clé de registre de la ruche SOFTWARE où le service Planificateur de tâches conserve sa copie de chaque tâche enregistrée : sous-clés Tree, Tasks et catégories.
TaskCache correspond à HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache. Sa sous-clé Tree contient une clé par chemin de tâche, avec le GUID de la tâche (Id), une catégorie (Index) et un descripteur de sécurité (SD). Ses sous-clés Tasks\{GUID} contiennent les données de la tâche : chemin, auteur, date, hash, actions et déclencheurs binaires, et heures d'exécution dans DynamicInfo. Boot, Logon, Plain et Maintenance listent les GUID des tâches par catégorie (cyber.wtf).
Une tâche peut subsister dans TaskCache après la suppression de son fichier XML, ce qui rend cette clé indispensable en enquête. Voir l'analyse forensique du registre TaskCache.