RDP Bitmap Cache
| Format | RDP Bitmap Cache |
|---|---|
| Kurzname | RDP cache |
| Kategorie | Medien |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Persistenter Bitmap-Cache des Windows-Remotedesktopclients, im Benutzerprofil gespeichert (Cache-Ordner von Terminal Server Client) als bcache*.bmc (ältere Clients) oder Cache????.bin ('RDP8bmp'-Header, ab RDP 8). Die Dateien enthalten kleine Bitmap-Kacheln (meist 64×64 Pixel) des entfernten Bildschirms; zusammengesetzt können sie auf dem verbindenden System Ausschnitte dessen zeigen, was ein Nutzer während RDP-Sitzungen gesehen hat, etwa Fenster, Dateinamen oder eingegebenen Text.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 52 44 50 38 62 6D 70 00 | RDP8bmp. | Header 'RDP8bmp' der Cache????.bin-Dateien (bcache*.bmc-Dateien haben keine Signatur) |
Bekannte Dateiendungen
.bmc
Referenzen
- bmc-tools — RDP Bitmap Cache parser (ANSSI) https://github.com/ANSSI-FR/bmc-tools
Diesen Eintrag zitieren
Crush-Format-Referenz, „RDP Bitmap Cache“. https://kalink0.github.io/crush-forensics/formats/de/rdp-cache/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden