Файлы Prefetch
Что такое Файлы Prefetch?
Файлы PrefetchФайлы Windows .pf в C:\Windows\Prefetch, фиксирующие запуск процессов и являющиеся надёжным криминалистическим доказательством того, что исполняемый файл выполнялся на системе.
Prefetch — оптимизация производительности Windows, которая записывает, к каким файлам и каталогам исполняемый файл обращается в первые десять секунд работы. Получаемый файл .pf (имя вида EXECUTABLE-HASH.pf) хранится в C:\Windows\Prefetch и содержит исходный путь, счётчик запусков, последние восемь временных меток запусков (Windows 8+), а также список затронутых файлов и томов. Криминалисты используют Prefetch, чтобы доказать факт запуска, восстановить имена удалённых бинарей, выстроить таймлайн и обнаружить подозрительные программы, запущенные из temp или AppData. На Windows Server и в ряде конфигураций с SSD Prefetch отключён по умолчанию, поэтому его отсутствие само по себе говорит о многом. Эталонный парсер — PECmd.
● Примеры
- 01
Подтверждение запуска уже удалённого вымогателя по записи C:\Windows\Prefetch\RYUK.EXE-XXXXXXXX.pf.
- 02
Выявление злоупотребления LOLBin, когда wmic.exe или rundll32.exe имеют аномально большое число запусков и ссылки на нестандартные пути.
● Частые вопросы
Что такое Файлы Prefetch?
Файлы Windows .pf в C:\Windows\Prefetch, фиксирующие запуск процессов и являющиеся надёжным криминалистическим доказательством того, что исполняемый файл выполнялся на системе. Относится к категории Криминалистика и реагирование в кибербезопасности.
Что означает Файлы Prefetch?
Файлы Windows .pf в C:\Windows\Prefetch, фиксирующие запуск процессов и являющиеся надёжным криминалистическим доказательством того, что исполняемый файл выполнялся на системе.
Как защититься от Файлы Prefetch?
Защита от Файлы Prefetch обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Файлы Prefetch?
Распространённые альтернативные названия: Файлы .pf, Windows Prefetch.