Blog

Comparatif honnête des parseurs Windows Timeline : WxTCmd, outils de kacos2000, Plaso, Velociraptor, requêtes SQL et ce parseur web, avec la gestion du WAL.

Windows Timeline, SRUM, Prefetch et Jump Lists comparés : ce que chacun enregistre, où il se trouve, combien de temps il dure et à quelle question il répond.

Là où s'arrêtent les preuves Windows Timeline : expiration, paramètres, historique effacé, lignes supprimées, WAL manquant, limites des parseurs, falsification.

Cas fictif pas à pas : reconstituer la session interactive d'un compte de service et l'exfiltration de la paie grâce à ActivitiesCache.db et à son WAL.

Comment Windows stocke le texte du presse-papiers dans ActivitiesCache.db : types 10 et 16, paramètres requis, expiration à 12 heures et décodage Base64.

Ce que prouve vraiment une ligne Windows Timeline : fichier ouvert, application au premier plan, temps passé. Comment le formuler et quels artefacts confirmer.

Pas à pas : ouvrir ActivitiesCache.db et son -wal dans un visualiseur gratuit, filtrer applications, fichiers, focus et presse-papiers, exporter en CSV ou JSON.

Windows 11 a retiré la vue Timeline, mais ActivitiesCache.db peut rester sur le disque. Ce qui a changé, ce que disent les sources, comment vérifier une image.

Comment le mode WAL de SQLite cache l'activité la plus récente de Windows Timeline dans ActivitiesCache.db-wal, et comment l'analyser sans rien altérer.