Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 850

Файлы Prefetch

Что такое Файлы Prefetch?

Файлы PrefetchФайлы Windows .pf в C:\Windows\Prefetch, фиксирующие запуск процессов и являющиеся надёжным криминалистическим доказательством того, что исполняемый файл выполнялся на системе.

Prefetch — оптимизация производительности Windows, которая записывает, к каким файлам и каталогам исполняемый файл обращается в первые десять секунд работы. Получаемый файл .pf (имя вида EXECUTABLE-HASH.pf) хранится в C:\Windows\Prefetch и содержит исходный путь, счётчик запусков, последние восемь временных меток запусков (Windows 8+), а также список затронутых файлов и томов. Криминалисты используют Prefetch, чтобы доказать факт запуска, восстановить имена удалённых бинарей, выстроить таймлайн и обнаружить подозрительные программы, запущенные из temp или AppData. На Windows Server и в ряде конфигураций с SSD Prefetch отключён по умолчанию, поэтому его отсутствие само по себе говорит о многом. Эталонный парсер — PECmd.

● Примеры

  1. 01

    Подтверждение запуска уже удалённого вымогателя по записи C:\Windows\Prefetch\RYUK.EXE-XXXXXXXX.pf.

  2. 02

    Выявление злоупотребления LOLBin, когда wmic.exe или rundll32.exe имеют аномально большое число запусков и ссылки на нестандартные пути.

● Частые вопросы

Что такое Файлы Prefetch?

Файлы Windows .pf в C:\Windows\Prefetch, фиксирующие запуск процессов и являющиеся надёжным криминалистическим доказательством того, что исполняемый файл выполнялся на системе. Относится к категории Криминалистика и реагирование в кибербезопасности.

Что означает Файлы Prefetch?

Файлы Windows .pf в C:\Windows\Prefetch, фиксирующие запуск процессов и являющиеся надёжным криминалистическим доказательством того, что исполняемый файл выполнялся на системе.

Как работает Файлы Prefetch?

Prefetch — оптимизация производительности Windows, которая записывает, к каким файлам и каталогам исполняемый файл обращается в первые десять секунд работы. Получаемый файл .pf (имя вида EXECUTABLE-HASH.pf) хранится в C:\Windows\Prefetch и содержит исходный путь, счётчик запусков, последние восемь временных меток запусков (Windows 8+), а также список затронутых файлов и томов. Криминалисты используют Prefetch, чтобы доказать факт запуска, восстановить имена удалённых бинарей, выстроить таймлайн и обнаружить подозрительные программы, запущенные из temp или AppData. На Windows Server и в ряде конфигураций с SSD Prefetch отключён по умолчанию, поэтому его отсутствие само по себе говорит о многом. Эталонный парсер — PECmd.

Как защититься от Файлы Prefetch?

Защита от Файлы Prefetch обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Файлы Prefetch?

Распространённые альтернативные названия: Файлы .pf, Windows Prefetch.

● Связанные термины

● См. также