Series
Les fondamentaux des tâches planifiées
5 posts in this series. Read them in order or jump to any one.
- Analyse forensique des tâches planifiées : guide complet
Les tâches planifiées Windows de bout en bout : fichiers XML, clé de registre TaskCache, fichiers .job hérités, journaux d'événements et corrélation.
- Tâches planifiées : emplacements de stockage et acquisition
Tous les emplacements des tâches planifiées Windows : System32\Tasks, SysWOW64\Tasks, C:\Windows\Tasks et TaskCache, et leur collecte avec KAPE ou Velociraptor.
- Le XML d'une tâche planifiée Windows, élément par élément
Lire le XML d'une tâche planifiée en enquêteur : RegistrationInfo, Triggers, Principals, Settings, Actions, et les heures locales sans fuseau de Date et StartBoundary.
- Analyse forensique de TaskCache : Tree, Tasks, DynamicInfo
Ce que la clé TaskCache de la ruche SOFTWARE stocke pour chaque tâche planifiée : Id/Index/SD, DynamicInfo, blobs Actions et Triggers, et Hash.
- Analyse forensique des fichiers .job : C:\Windows\Tasks
Lire les fichiers .job hérités : sections fixe et variable de MS-TSCH, déclencheurs, SYSTEMTIME de dernière exécution en heure locale, présence sur Windows récent.