Saltar al contenido
Blog
Sin subidaForense de ejecución en Windows

Cada ejecución de un programa, leída desde el Prefetch de Windows

Suelta archivos .pf, una carpeta Prefetch completa o una recolección de KAPE / Velociraptor. Número de ejecuciones, las últimas ocho fechas de inicio, volúmenes y archivos cargados — analizados localmente en WebAssembly.

  • XP → Windows 11 (SCCA 17–31)
  • ZIP de triaje y carpetas
  • Funciona sin conexión en el navegador

Suelta aquí archivos .pf, una carpeta Prefetch o un ZIP de triaje (KAPE, Velociraptor)

Archivos prefetch sintéticos de una intrusión ficticia (equipo FIN-WKS-07) — sin datos reales. Consejo: haga clic en la última ejecución de M64.EXE para ver qué más se ejecutó en ±5 minutos.

100 % en el cliente. Los archivos se leen en memoria y nunca se envían a un servidor.

¿Aún no tienes archivos? Cómo recopilarlos ↓
Recopilación

Cómo obtener tus datos

  1. Recopila la carpeta Prefetch — un comando, más abajo
  2. Suelta la carpeta o el ZIP en el recuadro de arriba
  3. Todo se queda en tu navegador — no se sube nada

Windows, consola elevada: clic derecho en Símbolo del sistema o PowerShell → Ejecutar como administrador. No hay que instalar nada.

  1. Copia todos los archivos .pf a C:\triage\Prefetch (la carpeta se crea automáticamente):

    cmd / PowerShell
    robocopy C:\Windows\Prefetch C:\triage\Prefetch *.pf /COPY:DAT /DCOPY:T

    Los archivos Prefetch no están bloqueados, así que una copia elevada normal es completa, sin instantánea. El código de salida 1 de robocopy significa «archivos copiados». Después suelta C:\triage\Prefetch en esta página.

  2. Opcional — ¿vas a llevarlo a otro equipo? Comprímelo:

    PowerShell
    Compress-Archive -Path C:\triage\Prefetch -DestinationPath C:\triage\Prefetch.zip -Force

    Suelta Prefetch.zip tal cual; se abre en tu navegador.

Trampas habituales

  • Recopila primero. Cada programa que ejecutas en el equipo en vivo — incluidos robocopy.exe y kape.exe — escribe su propio .pf y puede desplazar entradas antiguas de una carpeta llena.
  • Retención corta: como máximo 1024 archivos y las 8 últimas ejecuciones por programa. Las pruebas más antiguas están en las instantáneas (ver Imagen de disco e instantáneas).
  • Vacío ≠ no se ejecutó nada: Prefetch viene desactivado por defecto en Windows Server, y también con EnablePrefetcher = 0 o SysMain detenido. Todas las horas aquí están en UTC.
Qué obtienes

Hecho para la pregunta de la ejecución

Si se ejecutó, cuándo, cuántas veces y desde dónde — respondido a partir de los .pf, sin instalar nada.

  • Agrupado por ejecutable

    Todos los archivos Prefetch de un programa — rutas, hashes e instantáneas distintas — en una sola fila con el recuento de ejecuciones combinado.

  • Las ocho fechas de ejecución

    Cada ranura que guarda Windows (una antes de 8.1, ocho desde entonces), en UTC, fusionadas y sin duplicados entre archivos.

  • Suelta toda la recolección

    Se buscan archivos .pf en carpetas y ZIP de KAPE / Velociraptor; cada archivo omitido viene con su motivo.

  • De Windows XP a 11

    Versiones SCCA 17, 23, 26, 30 y 31. Los archivos comprimidos MAM de Windows 10/11 se descomprimen en el navegador.

  • Volúmenes y archivos cargados

    Ruta del dispositivo, número de serie y fecha de creación de cada volumen, y cada DLL o archivo que tocó el programa — todo con búsqueda.

  • Privado por diseño

    Un analizador en Rust compilado a WebAssembly se ejecuta en un Web Worker. Sin servidor ni subida; exporta todo en JSON.

  • Continúa donde lo dejaste

    Cada análisis se guarda automáticamente en tu navegador (IndexedDB). Ponle nombre para conservarlo; reanuda, renombra o elimina sesiones más tarde.

Cómo funciona

Cómo analizar una carpeta Prefetch

Suelta un archivo .pf o toda la carpeta C:\Windows\Prefetch\ en esta página. El analizador se ejecuta completamente en tu navegador:

  1. 1

    Los archivos se leen en memoria localmente — nada se sube.

  2. 2

    Un decodificador prefetch en Rust compilado a WebAssembly descomprime y analiza cada archivo dentro de un Web Worker.

  3. 3

    Los resultados se muestran en una tabla ordenable y filtrable. Pulsa una fila para ver todas las ejecuciones, volúmenes y archivos referenciados.

  4. 4

    Exporta todo como JSON para tu cadena de herramientas posterior.

El artefacto

¿Qué es Windows Prefetch?

Windows Prefetch (.pf) es una caché por ejecutable que Windows escribe en C:\Windows\Prefetch\ cada vez que se lanza un programa. Cada archivo registra lo que el programa tocó en su primera ejecución — las bibliotecas que cargó, el volumen desde el que se ejecutó y cuántas veces se ha lanzado. En análisis forense digital, prefetch es una de las fuentes de evidencia de ejecución más fiables: un programa no necesita estar instalado ni seguir presente en disco para dejar una entrada .pf.

Qué registra cada archivo .pf

  • 01Nombre del ejecutable y hash de prefetch (derivado de la ruta de lanzamiento)
  • 02Versión SCCA: 17 (XP/Vista/7), 23 (Win8), 26 (Win8.1), 30 (Win10), 31 (Win11)
  • 03Número de ejecuciones — cuántas veces se ha lanzado el programa
  • 04Hasta 8 marcas de tiempo de ejecución en UTC (Win8.1+)
  • 05Información de volumen: ruta del dispositivo, número de serie NTFS, fecha de creación
  • 06Cada DLL, archivo de configuración y recurso cargado por el programa durante la captura de prefetch

Herramientas relacionadas

Artefactos que responden a la siguiente pregunta del mismo caso.

FAQ

Preguntas frecuentes

¿Dónde almacena Windows los archivos prefetch?

C:\Windows\Prefetch\ — normalmente varios cientos de archivos .pf en un equipo activo. La carpeta está restringida pero es legible por administradores. Prefetch está activado por defecto en las ediciones de estación de trabajo de Windows; en Windows Server suele estar desactivado.

¿Cómo se calcula el hash de 8 caracteres del prefetch?

El hash al final del nombre (NOMBRE-XXXXXXXX.pf) se deriva de la ruta completa del ejecutable como cadena UTF-16. Dos copias del mismo binario lanzadas desde directorios distintos producen dos archivos .pf diferentes. El algoritmo cambió entre Windows XP/Vista y Windows 7+ (hash SuperFetch).

¿Por qué los archivos prefetch de Windows 8+ están comprimidos?

A partir de Windows 8, el sistema comprime los archivos prefetch con el algoritmo Xpress Huffman y los marca con la firma MAM\u00104. Este analizador los descomprime de forma transparente — no necesitas preprocesar nada antes de soltar la carpeta.

¿Son los archivos prefetch evidencia fiable de ejecución?

Sí — Windows solo escribe un archivo .pf después de que el ejecutable se ejecute realmente. Sin embargo, los contadores y marcas de tiempo pueden manipularse (por ejemplo, borrando archivos prefetch), y una entrada ausente no prueba que un programa no se ejecutara si los .pf se eliminaron después. Combina con Amcache, ShimCache y registros de eventos para corroborar.

¿Se envía algo a un servidor?

No. El analizador compila un decodificador prefetch puro en Rust (frnsc-prefetch) a WebAssembly y lo ejecuta en un Web Worker dentro de tu navegador. Los bytes nunca salen de tu máquina. Sin backend, sin telemetría sobre el contenido, sin subidas.

¿Qué versiones de Windows se soportan?

Todas las versiones SCCA desde Windows XP hasta Windows 11: v17 (XP/Vista/7, sin comprimir), v23 (Win8), v26 (Win8.1), v30 (Win10) y v31 (Win11). Tanto archivos comprimidos como sin comprimir se detectan automáticamente.

Dale una carpeta Prefetch

Resultados en segundos. Nada sale de esta pestaña.

Analizar archivos Prefetch