Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Français
Entry № 850

Fichiers Prefetch

Qu'est-ce que Fichiers Prefetch ?

Fichiers PrefetchFichiers .pf de Windows situes dans C:\Windows\Prefetch qui enregistrent le demarrage des processus et fournissent une preuve forte qu'un executable a tourne sur la machine.

Prefetch est une optimisation de performance Windows qui enregistre quels fichiers et repertoires un executable touche pendant ses dix premieres secondes d'execution. Le fichier .pf resultant (nomme EXECUTABLE-HASH.pf) est stocke dans C:\Windows\Prefetch et contient le chemin d'origine, le nombre d'executions, les huit derniers horodatages (Windows 8+) et la liste des fichiers et volumes referencies. Les analystes forensiques s'en servent pour prouver l'execution d'un programme, retrouver le nom de binaires supprimes, construire des frises chronologiques et reperer des binaires lances depuis temp ou AppData. Prefetch est desactive par defaut sur Windows Server et dans certaines configurations SSD, donc son absence est en soi une information. PECmd est l'analyseur de reference.

● Exemples

  1. 01

    Prouver l'execution d'un ransomware supprime en analysant C:\Windows\Prefetch\RYUK.EXE-XXXXXXXX.pf.

  2. 02

    Detecter un abus de LOLBins lorsque wmic.exe ou rundll32.exe affichent un nombre d'executions anormal et referencent des chemins non standards.

● Questions fréquentes

Qu'est-ce que Fichiers Prefetch ?

Fichiers .pf de Windows situes dans C:\Windows\Prefetch qui enregistrent le demarrage des processus et fournissent une preuve forte qu'un executable a tourne sur la machine. Cette notion relève de la catégorie Forensique et réponse en cybersécurité.

Que signifie Fichiers Prefetch ?

Fichiers .pf de Windows situes dans C:\Windows\Prefetch qui enregistrent le demarrage des processus et fournissent une preuve forte qu'un executable a tourne sur la machine.

Comment fonctionne Fichiers Prefetch ?

Prefetch est une optimisation de performance Windows qui enregistre quels fichiers et repertoires un executable touche pendant ses dix premieres secondes d'execution. Le fichier .pf resultant (nomme EXECUTABLE-HASH.pf) est stocke dans C:\Windows\Prefetch et contient le chemin d'origine, le nombre d'executions, les huit derniers horodatages (Windows 8+) et la liste des fichiers et volumes referencies. Les analystes forensiques s'en servent pour prouver l'execution d'un programme, retrouver le nom de binaires supprimes, construire des frises chronologiques et reperer des binaires lances depuis temp ou AppData. Prefetch est desactive par defaut sur Windows Server et dans certaines configurations SSD, donc son absence est en soi une information. PECmd est l'analyseur de reference.

Comment se défendre contre Fichiers Prefetch ?

Les défenses contre Fichiers Prefetch combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Quels sont les autres noms de Fichiers Prefetch ?

Noms alternatifs courants : Fichiers .pf, Prefetch Windows.

● Termes liés

● Voir aussi