Aller au contenu
Blog
Aucun envoiForensique d'exécution Windows

Chaque exécution de programme, lue dans le Prefetch Windows

Déposez des fichiers .pf, un dossier Prefetch complet ou une collecte KAPE / Velociraptor. Nombre d'exécutions, huit dernières dates de lancement, volumes et fichiers chargés — analysés localement en WebAssembly.

  • XP → Windows 11 (SCCA 17–31)
  • ZIP de triage et dossiers
  • Fonctionne hors ligne dans le navigateur

Déposez ici des fichiers .pf, un dossier Prefetch ou un ZIP de collecte (KAPE, Velociraptor)

Fichiers prefetch synthétiques d'une intrusion fictive (poste FIN-WKS-07) — aucune donnée réelle. Astuce : cliquez sur la dernière exécution de M64.EXE pour voir ce qui a tourné à ±5 minutes.

100 % côté client. Les fichiers sont lus en mémoire et ne sont jamais envoyés à un serveur.

Pas encore de fichiers ? Comment les collecter ↓
Collecte

Comment récupérer vos données

  1. Collectez le dossier Prefetch — une commande ci-dessous
  2. Déposez le dossier ou le ZIP dans la zone ci-dessus
  3. Tout reste dans votre navigateur — rien n'est envoyé

Windows, invite élevée : clic droit sur Invite de commandes ou PowerShell → Exécuter en tant qu'administrateur. Rien à installer.

  1. Copiez tous les fichiers .pf vers C:\triage\Prefetch (le dossier est créé automatiquement) :

    cmd / PowerShell
    robocopy C:\Windows\Prefetch C:\triage\Prefetch *.pf /COPY:DAT /DCOPY:T

    Les fichiers Prefetch ne sont pas verrouillés : une simple copie élevée est complète, sans cliché instantané. Le code de sortie 1 de robocopy signifie « fichiers copiés ». Déposez ensuite C:\triage\Prefetch sur cette page.

  2. Facultatif — pour le transférer sur une autre machine, compressez-le :

    PowerShell
    Compress-Archive -Path C:\triage\Prefetch -DestinationPath C:\triage\Prefetch.zip -Force

    Déposez Prefetch.zip tel quel ; il est ouvert dans votre navigateur.

Pièges

  • Collectez d'abord. Chaque programme lancé sur l'hôte actif — robocopy.exe et kape.exe compris — écrit son propre .pf et peut évincer d'anciennes entrées d'un dossier plein.
  • Rétention courte : au plus 1 024 fichiers et les 8 dernières exécutions par programme. Les traces plus anciennes se trouvent dans les clichés instantanés (voir Image disque et clichés).
  • Vide ≠ rien n'a tourné : Prefetch est désactivé par défaut sur Windows Server, et quand EnablePrefetcher = 0 ou que SysMain est arrêté. Toutes les heures affichées ici sont en UTC.
Ce que vous obtenez

Pensé pour la question de l'exécution

Le programme a-t-il tourné, quand, combien de fois et depuis où — la réponse tirée des fichiers .pf, sans rien installer.

  • Regroupé par exécutable

    Tous les fichiers Prefetch d'un programme — chemins, hashs, clichés instantanés différents — sur une seule ligne avec le nombre d'exécutions cumulé.

  • Les huit dates d'exécution

    Chaque emplacement conservé par Windows (un seul avant 8.1, huit depuis), en UTC, fusionnés et dédoublonnés entre fichiers.

  • Déposez toute la collecte

    Les dossiers et ZIP KAPE / Velociraptor sont parcourus à la recherche des .pf ; chaque fichier ignoré est accompagné de la raison.

  • De Windows XP à 11

    Versions SCCA 17, 23, 26, 30 et 31. Les fichiers compressés MAM de Windows 10/11 sont décompressés dans le navigateur.

  • Volumes et fichiers chargés

    Chemin de périphérique, numéro de série et date de création de chaque volume, et chaque DLL ou fichier touché par le programme — tout est cherchable.

  • Confidentiel par conception

    Un parseur Rust compilé en WebAssembly tourne dans un Web Worker. Pas de serveur, pas d'envoi ; export complet en JSON.

  • Reprenez où vous en étiez

    Chaque analyse est enregistrée automatiquement dans votre navigateur (IndexedDB). Nommez-la pour la conserver ; reprenez, renommez ou supprimez vos sessions plus tard.

Fonctionnement

Comment analyser un dossier Prefetch

Déposez un fichier .pf ou tout le dossier C:\Windows\Prefetch\ sur cette page. Le parseur s'exécute entièrement dans votre navigateur :

  1. 1

    Les fichiers sont lus en mémoire localement — rien n'est envoyé.

  2. 2

    Un décodeur prefetch Rust compilé en WebAssembly décompresse et analyse chaque fichier dans un Web Worker.

  3. 3

    Les résultats s'affichent dans un tableau triable et filtrable. Cliquez sur une ligne pour voir toutes les exécutions, volumes et fichiers référencés.

  4. 4

    Exportez tout en JSON pour la suite de votre chaîne d'outils.

L'artefact

Qu'est-ce que Windows Prefetch ?

Windows Prefetch (.pf) est un cache par exécutable que Windows écrit dans C:\Windows\Prefetch\ à chaque lancement d'un programme. Chaque fichier enregistre ce que le programme a touché lors de sa première exécution — les bibliothèques chargées, le volume utilisé et le nombre de fois où il a été lancé. En analyse forensique, le prefetch est l'une des sources de preuves d'exécution les plus fiables : un programme n'a pas besoin d'être installé ni encore présent sur le disque pour laisser une entrée .pf derrière lui.

Ce que chaque fichier .pf enregistre

  • 01Nom de l'exécutable et hash prefetch (dérivé du chemin de lancement)
  • 02Version SCCA : 17 (XP/Vista/7), 23 (Win8), 26 (Win8.1), 30 (Win10), 31 (Win11)
  • 03Nombre d'exécutions — combien de fois le programme a été lancé
  • 04Jusqu'à 8 horodatages d'exécution en UTC (Win8.1+)
  • 05Informations de volume : chemin du périphérique, numéro de série NTFS, date de création
  • 06Chaque DLL, fichier de configuration et ressource chargés par le programme durant la capture prefetch

Outils associés

Les artefacts qui répondent à la question suivante de la même enquête.

FAQ

Questions fréquentes

Où Windows stocke-t-il les fichiers prefetch ?

C:\Windows\Prefetch\ — généralement plusieurs centaines de fichiers .pf sur un poste actif. Le dossier est restreint mais lisible par les administrateurs. Prefetch est activé par défaut sur les éditions postes de travail de Windows ; il est souvent désactivé sur Windows Server.

Comment le hash prefetch de 8 caractères est-il calculé ?

Le hash en fin de nom (NOM-XXXXXXXX.pf) est dérivé du chemin complet de l'exécutable encodé en UTF-16. Deux copies du même binaire lancées depuis des répertoires différents produisent deux fichiers .pf distincts. L'algorithme a changé entre Windows XP/Vista et Windows 7+ (hash SuperFetch).

Pourquoi les fichiers prefetch Windows 8+ sont-ils compressés ?

À partir de Windows 8, le système compresse les fichiers prefetch avec l'algorithme Xpress Huffman et les préfixe par la signature MAM\u00104. Ce parseur les décompresse de manière transparente — aucun pré-traitement n'est nécessaire avant de déposer le dossier.

Les fichiers prefetch sont-ils une preuve fiable d'exécution ?

Oui — Windows n'écrit un fichier .pf qu'après l'exécution effective de l'exécutable. Cependant, le nombre d'exécutions et les horodatages peuvent être altérés (par exemple en supprimant des fichiers prefetch), et une entrée absente ne prouve pas qu'un programme n'a jamais été lancé si les .pf ont été effacés après coup. À recouper avec Amcache, ShimCache et les journaux d'événements.

Quelque chose est-il envoyé à un serveur ?

Non. Le parseur compile un décodeur prefetch pur Rust (frnsc-prefetch) en WebAssembly et l'exécute dans un Web Worker à l'intérieur de votre navigateur. Les octets ne quittent jamais votre machine. Pas de backend, pas de télémétrie sur le contenu, pas d'upload.

Quelles versions de Windows sont prises en charge ?

Toutes les versions SCCA, de Windows XP à Windows 11 : v17 (XP/Vista/7, non compressée), v23 (Win8), v26 (Win8.1), v30 (Win10) et v31 (Win11). Les fichiers compressés comme non compressés sont détectés automatiquement.

Donnez-lui un dossier Prefetch

Des résultats en quelques secondes. Rien ne quitte cet onglet.

Analyser des fichiers Prefetch