Skip to content
Thumbcache Parser

Nuevo: recupera miniaturas del slack

El visor de thumbcache pensado para la forense.

Abre thumbcache_*.db, iconcache_*.db y Thumbs.db para ver cada miniatura en caché, incluidas las recuperadas de entradas eliminadas.

Analizado en tu navegador con WebAssembly. No se sube nada.

Suelta thumbcache_*.db, iconcache_*.db, Thumbs.db, o una carpeta o un ZIP

Las carpetas y los ZIP (p. ej. una exportación de Disk Image Parser) se analizan automáticamente.

Caché de miniaturas e índice de Windows Search sintéticos de una intrusión ficticia — sin datos reales. Prueba el rango de tiempo: selecciona la captura eliminada (10:12:04 UTC) y pulsa «Alrededor de la selección».

¿Cómo obtengo estos archivos?

Cómo obtener tus datos

¿Nunca has recopilado una caché de miniaturas? Elige el primer método que encaje: cada uno produce una carpeta o un ZIP que puedes soltar directamente en el analizador de arriba.

  1. 1Recopila las cachés con un comando
  2. 2Suelta la carpeta o el ZIP arriba
  3. 3Se analiza en tu navegador: no se sube nada

Equipo Windows encendido: un solo pegado en PowerShell

Ejecútalo en PowerShell como administrador (Windows 8, 10 u 11, unidad del sistema C:). Solo herramientas integradas: una instantánea temporal de C: sortea los archivos que el Explorador mantiene bloqueados y se elimina al final.

PowerShell (Administrator)
$out = 'C:\triage\thumbcache'
New-Item -ItemType Directory -Force -Path $out | Out-Null
$r = Invoke-CimMethod -ClassName Win32_ShadowCopy -MethodName Create -Arguments @{ Volume = 'C:\' }
$vss = Get-CimInstance Win32_ShadowCopy | Where-Object ID -eq $r.ShadowID
cmd /c mklink /d C:\triage\vss "$($vss.DeviceObject)\"
$exp = 'AppData\Local\Microsoft\Windows\Explorer'
Get-ChildItem C:\triage\vss\Users -Directory | ForEach-Object {
  if (Test-Path "$($_.FullName)\$exp") {
    robocopy "$($_.FullName)\$exp" "$out\Users\$($_.Name)\$exp" thumbcache_*.db iconcache_*.db /B /R:0 /W:0 /NP /NDL /NJH /NJS
  }
}
$idx = 'ProgramData\Microsoft\Search\Data\Applications\Windows'
robocopy "C:\triage\vss\$idx" "$out\$idx" Windows.edb Windows.db *.log *.chk /B /R:0 /W:0 /NP /NDL /NJH /NJS
cmd /c rmdir C:\triage\vss
Remove-CimInstance -InputObject $vss

Resultado: C:\triage\thumbcache contiene los thumbcache_*.db e iconcache_*.db de cada perfil bajo Users\<nombre>\…, además del índice de Windows Search. Pulsa «Elegir carpeta» arriba y selecciónala, o arrástrala a la zona de carga.

Trampas habituales

  • No copies los archivos desde el Explorador: los thumbcache_*.db están bloqueados mientras explorer.exe se ejecuta. Usa una instantánea (el comando más rápido) o una herramienta de triaje; ambas requieren permisos de administrador.
  • Recopila pronto: la opción Miniaturas del Liberador de espacio y las reconstrucciones de la caché la borran. Instantáneas antiguas pueden conservar miniaturas purgadas de los archivos actuales.
  • El índice de búsqueda se lee tal cual; sus registros de transacciones no se reproducen. Si faltan rutas, ejecuta esentutl /r MSS sobre una copia de Windows.edb y sus registros (los comandos los recopilan).
  • Vista → Windows 11
  • iconcache
  • Thumbs.db + Type 1
  • Carving del slack
  • MD5 · SHA-256
  • Sin subidas
clases de tamaño decodificadas
14
todas las versiones de thumbcache
Vista → 11
subidos: todo se ejecuta en local
0 bytes

Funciones

Todo lo que un perito necesita de una caché de miniaturas

De un solo thumbcache_256.db a una recopilación completa: decodificado, recuperado y listo para el informe en segundos.

  • Recupera lo eliminado

    Recorre la cadena de entradas y después talla todo el archivo en busca de entradas CMMM. Las miniaturas que quedan en el slack se recuperan y se marcan.

  • Todas las versiones de Windows

    thumbcache e iconcache de Vista a Windows 11, incluidas todas las variantes de cabecera de Windows 8 y todos los tamaños.

  • Privado por diseño

    Un parser en Rust compilado a WebAssembly se ejecuta en un worker en tu equipo. Sin subidas, sin cuenta y funciona sin conexión una vez cargado.

  • Exportaciones con valor probatorio

    MD5 y SHA-256 por miniatura, hash de cada archivo de origen e informe HTML, CSV, JSON o un ZIP de evidencias completo.

  • Suelta toda la recopilación

    Las carpetas y los ZIP se analizan de forma recursiva. Cada archivo se asocia a su perfil de usuario, incluidas las exportaciones de Disk Image Parser.

  • Thumbs.db heredados

    Nombres y fechas de modificación del Catalog de los Thumbs.db de la era XP, y miniaturas Type 1 de Windows 98/2000 reconstruidas como imágenes visibles.

Flujo

Cómo funciona

  1. 01

    Recopila

    Copia la carpeta de caché del Explorador con KAPE, FTK Imager o una instantánea de volumen, o expórtala desde una imagen de disco.

  2. 02

    Suelta

    Suelta archivos, una carpeta o un ZIP. Cada entrada se decodifica en tu navegador y las recuperadas se marcan.

  3. 03

    Informa

    Filtra, examina y exporta las miniaturas con sus hashes como informe HTML, CSV o ZIP de evidencias.

Thumbcache Parser es un visor de thumbcache gratuito y multiplataforma para informática forense. Windows guarda una miniatura de las imágenes, vídeos y documentos vistos en el Explorador, y esas miniaturas suelen sobrevivir a los archivos originales. Suelta los archivos de caché (o una carpeta recopilada o un ZIP) para revisar cada miniatura con su cache ID y sus hashes, recuperar entradas que quedan en el slack y exportar un informe HTML, CSV o ZIP listo para el expediente. Todo se ejecuta localmente, apto para casos sensibles.

Guías

Guías sobre la caché de miniaturas

Formato de thumbcache_*.db: cabecera CMMM y entradas
Estructura a nivel de byte de las bases thumbcache e iconcache de Windows, de Vista a Windows 11: cabecera, tipos de caché por versión y estructura de entrada.
thumbcacheformato de archivoformato binariowindows internals
Thumbcache forense: evidencia en las cachés de miniaturas
Qué demuestran los archivos thumbcache_*.db en una investigación, cómo recuperar miniaturas borradas y las salvedades antes de incluir una en un informe.
thumbcachedfirartefactos de windowscaché de miniaturas
Alternativas a Thumbcache Viewer comparadas
Thumbcache Viewer, Vinetto, suites forenses y análisis en el navegador comparados: plataformas, formatos, recuperación de entradas borradas y mapeo de nombres.
thumbcacheherramientasdfirthumbcache viewer

FAQ

Preguntas frecuentes

¿Cómo abro un archivo thumbcache_*.db?

Suéltalo sobre el parser de arriba o elige toda la carpeta Explorer. Cada entrada se decodifica en tu navegador y se muestra en una cuadrícula con su cache ID, dimensiones, offset y MD5/SHA-256. Se admiten cachés de Windows Vista, 7, 8, 8.1, 10 y 11.

¿Pueden seguir apareciendo imágenes eliminadas en la caché?

Sí. Eliminar un archivo no borra su miniatura de thumbcache_*.db, y las entradas liberadas suelen quedar intactas en el slack. El parser recorre todo el archivo buscando firmas y marca en rojo las entradas recuperadas.

¿Es seguro cargar evidencias aquí?

Los archivos se leen y analizan localmente con WebAssembly en un worker; no se envía ningún byte a un servidor. Compruébalo en la pestaña de red del navegador o usa el sitio sin conexión una vez cargado.

¿Admite Thumbs.db?

Sí: Thumbs.db de Windows XP/2000/ME con su Catalog (nombres originales y fechas de modificación), Thumbs.db creados por Vista+ en recursos de red y las antiguas miniaturas «Type 1», que se reconstruyen como imágenes visibles.

¿Cómo sé a qué archivo pertenece una miniatura?

Las entradas de thumbcache se identifican con un cache ID de 64 bits, no con un nombre de archivo. Windows Search guarda el mismo ID (System_ThumbnailCacheId) junto a la ruta del archivo. Suelta Windows.edb (o Windows.db en Windows 11) junto a las cachés y cada miniatura indexada mostrará su ruta, nombre, tamaño y fecha de modificación originales.

Revela tu primera caché

Suelta un thumbcache_*.db, un Thumbs.db o todo un ZIP de recopilación: las miniaturas aparecen en segundos y nada sale de tu equipo.

Abrir una caché