Archivos Prefetch.

Archivos .pf de Windows en C:\Windows\Prefetch que registran el arranque de los procesos y aportan una prueba forense solida de que un ejecutable se ejecuto en el sistema. Pertenece a la categoría de Forense y respuesta en ciberseguridad.

Archivos .pf de Windows en C:\Windows\Prefetch que registran el arranque de los procesos y aportan una prueba forense solida de que un ejecutable se ejecuto en el sistema.

Prefetch es una optimizacion de rendimiento de Windows que registra que archivos y directorios toca un ejecutable durante sus primeros diez segundos de ejecucion. El archivo .pf resultante (con nombre EJECUTABLE-HASH.pf) se guarda en C:\Windows\Prefetch y contiene la ruta original, el numero de ejecuciones, las ultimas ocho marcas temporales (Windows 8+) y la lista de archivos y volumenes referenciados. Los forenses lo utilizan para probar la ejecucion de programas, recuperar nombres de binarios borrados, construir lineas de tiempo y detectar binarios sospechosos lanzados desde temp o AppData. Prefetch suele estar deshabilitado en Windows Server y, en ciertas configuraciones con SSD, por lo que su ausencia tambien es relevante. PECmd es el parser de referencia.

Las defensas contra Archivos Prefetch combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Archivos .pf, Prefetch de Windows.