Not yet available in English
This page does not exist in English yet. Shown is the version in Deutsch.
Written by kalink0 (Marco Neumann) · Completed on · Not yet reviewed by a second person
PCA - Program Compatibility Assistant¶
Bedeutung¶
Der Program Compatibility Assistant ist ein Feature in Windows-Systemen um die Ausführung von älteren Programmen auf den neuesten Windows-Systemen zu gewährleisten.
Aus digitalforensischer Sicht bedeuten Einträge in der PcaAppLaunchDic.txt, dass die Applikationen zum angegebenen Zeitpunkt zuletzt auf dem System ausgeführt wurden. Sie wurden über die grafische Oberfläche gestartet. Es kann eine Aussage über den Ort und den Namen der Anwendung getroffen werden. Die PcaGeneralDb-Dateien protokollieren zusätzlich Ereignisse wie abnormale Programmbeendigungen oder blockierte Treiber; deren Bedeutung hängt vom Eintragstyp ab.
Spezifische Kurzinformation¶
- Verfügbarkeit: Seit Windows 11, 22H2, existent
- Aufbewahrung: PcaGeneralDb0/1 rotieren bei je 2 MB (2–4 MB Historie)
- Format und Struktur: Reguläre Text-Dateien, Pipe-delimited format
- Zeitstempel: UTC; in der PcaAppLaunchDic.txt Zeitpunkt der letzten Ausführung
- Besonderheiten und Fallstricke: Nur GUI-based Applikationen bzw. Applikationen die aus der GUI heraus gestartet wurden. PcaAppLaunchDic.txt ist ANSI-kodiert: nach einem Pfad mit Nicht-ANSI-Zeichen werden keine neuen Programme mehr erfasst. Pfade in PcaGeneralDb sind normalisiert (kleingeschrieben, ohne Laufwerksbuchstabe, Benutzernamen ersetzt).
- Ablageort:
C:\Windows\appcompat\pca\PcaAppLaunchDic.txt
C:\Windows\appcompat\pca\PcaGeneralDb0.txt
C:\Windows\appcompat\pca\PcaGeneralDb1.txt
Referenzen¶
2024-05: https://www.sygnia.co/blog/new-windows-11-pca-artifact/
2023-07: https://aboutdfir.com/new-windows-11-pro-22h2-evidence-of-execution-artifact/
2023-01: https://www.youtube.com/watch?v=rV8aErDj06A
Tools¶
Program Compatibility Parser - https://github.com/kacos2000/Win10/tree/master/ProgramCompatibility
PCAParser - https://github.com/AndrewRathbun/PCAParser