Zum Inhalt springen
Blog
Kein UploadWindows-Ausführungsforensik

Jeder Programmstart, gelesen aus Windows Prefetch

Legen Sie .pf-Dateien, einen ganzen Prefetch-Ordner oder eine KAPE-/Velociraptor-Sammlung ab. Ausführungszähler, die letzten acht Startzeiten, Volumes und geladene Dateien — lokal in WebAssembly analysiert.

  • XP → Windows 11 (SCCA 17–31)
  • Triage-ZIPs und Ordner
  • Läuft offline im Browser

.pf-Dateien, einen Prefetch-Ordner oder ein Triage-ZIP (KAPE, Velociraptor) hier ablegen

Synthetische Prefetch-Dateien eines fiktiven Einbruchs (Host FIN-WKS-07) — keine echten Daten. Tipp: Klicken Sie auf die letzte Ausführung von M64.EXE, um zu sehen, was sonst innerhalb von ±5 Minuten lief.

100 % clientseitig. Dateien werden im Speicher gelesen und nie an einen Server gesendet.

Noch keine Dateien? So sichern Sie sie ↓
Sicherung

So kommen Sie an Ihre Daten

  1. Prefetch-Ordner sichern — ein Befehl, siehe unten
  2. Ordner oder ZIP oben in das Feld ziehen
  3. Alles bleibt in Ihrem Browser — nichts wird hochgeladen

Windows, erhöhte Eingabeaufforderung: Rechtsklick auf Eingabeaufforderung oder PowerShell → Als Administrator ausführen. Keine Installation nötig.

  1. Alle .pf-Dateien nach C:\triage\Prefetch kopieren (der Ordner wird automatisch angelegt):

    cmd / PowerShell
    robocopy C:\Windows\Prefetch C:\triage\Prefetch *.pf /COPY:DAT /DCOPY:T

    Prefetch-Dateien sind nicht gesperrt, eine einfache Kopie mit Adminrechten ist daher vollständig — keine Schattenkopie nötig. Robocopy-Exitcode 1 bedeutet „Dateien kopiert“. Danach C:\triage\Prefetch auf diese Seite ziehen.

  2. Optional — für den Transport auf einen anderen Rechner als ZIP packen:

    PowerShell
    Compress-Archive -Path C:\triage\Prefetch -DestinationPath C:\triage\Prefetch.zip -Force

    Prefetch.zip unverändert hineinziehen; es wird in Ihrem Browser geöffnet.

Stolperfallen

  • Zuerst sichern. Jedes Programm, das Sie auf dem laufenden Host starten — auch robocopy.exe und kape.exe —, schreibt eine eigene .pf und kann ältere Einträge aus einem vollen Ordner verdrängen.
  • Kurze Aufbewahrung: höchstens 1.024 Dateien und die letzten 8 Ausführungen pro Programm. Ältere Spuren liegen in Schattenkopien (siehe Disk-Image & Schattenkopien).
  • Leer ≠ nichts ausgeführt: Prefetch ist auf Windows Server standardmäßig aus, ebenso bei EnablePrefetcher = 0 oder gestopptem SysMain. Alle Zeiten hier sind UTC.
Was Sie bekommen

Gebaut für die Ausführungsfrage

Lief es, wann, wie oft und von wo — beantwortet aus den .pf-Dateien, ohne Installation.

  • Nach Programm gruppiert

    Alle Prefetch-Dateien eines Programms — verschiedene Pfade, Hashes, Schattenkopien — in einer Zeile mit summiertem Ausführungszähler.

  • Alle acht Startzeiten

    Jeder von Windows gespeicherte Startzeitpunkt (einer vor 8.1, seitdem acht), in UTC, dateiübergreifend zusammengeführt und dedupliziert.

  • Die ganze Sammlung ablegen

    Ordner und KAPE-/Velociraptor-ZIPs werden nach .pf-Dateien durchsucht; jede übersprungene Datei erhält eine Begründung.

  • Windows XP bis 11

    SCCA-Versionen 17, 23, 26, 30 und 31. MAM-komprimierte Dateien von Windows 10/11 werden im Browser entpackt.

  • Volumes und geladene Dateien

    Gerätepfad, Seriennummer und Erstellungszeit jedes Volumes sowie jede DLL und Datei, die das Programm berührt hat — alles durchsuchbar.

  • Datenschutz by Design

    Ein nach WebAssembly kompilierter Rust-Parser läuft in einem Web Worker. Kein Server, kein Upload; Export als JSON.

  • Dort weitermachen, wo Sie aufgehört haben

    Jede Analyse wird automatisch im Browser gespeichert (IndexedDB). Benennen Sie sie, um sie zu behalten; Sitzungen später fortsetzen, umbenennen oder löschen.

So funktioniert's

So analysieren Sie einen Prefetch-Ordner

Legen Sie eine .pf-Datei oder den gesamten C:\Windows\Prefetch\-Ordner auf dieser Seite ab. Der Parser läuft vollständig in Ihrem Browser:

  1. 1

    Dateien werden lokal in den Speicher gelesen — nichts wird hochgeladen.

  2. 2

    Ein zu WebAssembly kompilierter Rust-Prefetch-Decoder entpackt und liest jede Datei in einem Web Worker.

  3. 3

    Ergebnisse erscheinen in einer sortier- und filterbaren Tabelle. Klicken Sie eine Zeile, um alle Ausführungen, Volumes und referenzierten Dateien zu sehen.

  4. 4

    Exportieren Sie alles als JSON für nachgelagerte Werkzeuge.

Das Artefakt

Was ist Windows Prefetch?

Windows Prefetch (.pf) ist ein programmbezogener Cache, den Windows bei jedem Start eines Programms in C:\Windows\Prefetch\ schreibt. Jede Datei hält fest, worauf das Programm beim ersten Lauf zugegriffen hat — geladene Bibliotheken, das Volume, von dem es gestartet wurde, und wie oft es ausgeführt wurde. In der digitalen Forensik gehört Prefetch zu den zuverlässigsten Ausführungsspuren: Ein Programm muss weder installiert noch noch auf der Platte vorhanden sein, um einen .pf-Eintrag zu hinterlassen.

Was jede .pf-Datei aufzeichnet

  • 01Programmname und Prefetch-Hash (aus dem Startpfad abgeleitet)
  • 02SCCA-Version: 17 (XP/Vista/7), 23 (Win8), 26 (Win8.1), 30 (Win10), 31 (Win11)
  • 03Ausführungszähler — wie oft das Programm gestartet wurde
  • 04Bis zu 8 letzte Ausführungszeitpunkte in UTC (Win8.1+)
  • 05Volume-Informationen: Gerätepfad, NTFS-Seriennummer, Erstellungszeit
  • 06Jede DLL, Konfigurations- und Ressourcendatei, die während der Prefetch-Aufnahme geladen wurde

Verwandte Tools

Artefakte, die die nächste Frage im selben Fall beantworten.

FAQ

Häufig gestellte Fragen

Wo speichert Windows Prefetch-Dateien?

C:\Windows\Prefetch\ — typischerweise mehrere hundert .pf-Dateien auf einem aktiven Arbeitsplatz. Der Ordner ist eingeschränkt, aber für Administratoren lesbar. Prefetch ist auf Workstation-Editionen standardmäßig aktiviert; auf Windows Server ist es oft deaktiviert.

Wie wird der achtstellige Prefetch-Hash berechnet?

Der Hash am Ende des Dateinamens (NAME-XXXXXXXX.pf) wird aus dem vollständigen Pfad der ausführbaren Datei als UTF-16-Zeichenkette abgeleitet. Zwei Kopien derselben Binärdatei aus unterschiedlichen Verzeichnissen erzeugen zwei verschiedene .pf-Dateien. Der Algorithmus änderte sich zwischen Windows XP/Vista und Windows 7+ (SuperFetch-Hash).

Warum sind Prefetch-Dateien ab Windows 8 komprimiert?

Ab Windows 8 komprimiert das Betriebssystem Prefetch-Dateien mit Xpress Huffman und kennzeichnet sie mit der MAM\u00104-Signatur. Dieser Parser entpackt sie transparent — Sie müssen vor dem Ablegen des Ordners nichts vorverarbeiten.

Sind Prefetch-Dateien ein zuverlässiger Ausführungsbeweis?

Ja — Windows schreibt eine .pf-Datei erst nach der tatsächlichen Ausführung. Allerdings können Ausführungszähler und Zeitstempel manipuliert werden (z. B. durch Löschen von Prefetch-Dateien), und ein fehlender Eintrag beweist nicht, dass ein Programm nie lief, falls die .pf-Dateien nachträglich entfernt wurden. Zur Bestätigung mit Amcache, ShimCache und Ereignisprotokollen abgleichen.

Wird etwas an einen Server gesendet?

Nein. Der Parser kompiliert einen reinen Rust-Prefetch-Decoder (frnsc-prefetch) zu WebAssembly und führt ihn in einem Web Worker in Ihrem Browser aus. Bytes verlassen Ihren Rechner nie. Kein Backend, keine Telemetrie über Dateiinhalte, kein Upload.

Welche Windows-Versionen werden unterstützt?

Alle SCCA-Versionen von Windows XP bis Windows 11: v17 (XP/Vista/7, unkomprimiert), v23 (Win8), v26 (Win8.1), v30 (Win10) und v31 (Win11). Komprimierte wie unkomprimierte Dateien werden automatisch erkannt.

Geben Sie ihm einen Prefetch-Ordner

Ergebnisse in Sekunden. Nichts verlässt diesen Tab.

Prefetch-Dateien analysieren