Articles tagués: #activitiescache

Comparatif honnête des parseurs Windows Timeline : WxTCmd, outils de kacos2000, Plaso, Velociraptor, requêtes SQL et ce parseur web, avec la gestion du WAL.

Là où s'arrêtent les preuves Windows Timeline : expiration, paramètres, historique effacé, lignes supprimées, WAL manquant, limites des parseurs, falsification.

Cas fictif pas à pas : reconstituer la session interactive d'un compte de service et l'exfiltration de la paie grâce à ActivitiesCache.db et à son WAL.

Comment Windows stocke le texte du presse-papiers dans ActivitiesCache.db : types 10 et 16, paramètres requis, expiration à 12 heures et décodage Base64.

Ce que prouve vraiment une ligne Windows Timeline : fichier ouvert, application au premier plan, temps passé. Comment le formuler et quels artefacts confirmer.

Pas à pas : ouvrir ActivitiesCache.db et son -wal dans un visualiseur gratuit, filtrer applications, fichiers, focus et presse-papiers, exporter en CSV ou JSON.

Windows 11 a retiré la vue Timeline, mais ActivitiesCache.db peut rester sur le disque. Ce qui a changé, ce que disent les sources, comment vérifier une image.

Comment le mode WAL de SQLite cache l'activité la plus récente de Windows Timeline dans ActivitiesCache.db-wal, et comment l'analyser sans rien altérer.

Référence des champs d'ActivitiesCache.db : ActivityType 5, 6, 10 et 16, JSON AppId, clés du payload comme activeDurationSeconds et toutes les colonnes de date.

Où se trouve ActivitiesCache.db selon le type de compte, et comment le collecter avec son -wal : image disque, KAPE, Velociraptor ou système allumé.

Guide complet de l'analyse forensique de Windows Timeline : ce que contient ActivitiesCache.db, où le trouver, pourquoi le -wal compte et comment l'exploiter.