Blog
Articles de praticien sur le Prefetch Windows : formats, hashs, anti-forensique et lecture des preuves d'exécution.
2026-05-28
Outils de parsing de Windows Prefetch comparés — PECmd, WinPrefetchView et parsers en navigateur
PECmd, WinPrefetchView, libscca et parsers en ligne — à quoi chacun excelle, ce qu'il rate, et quand recourir à lequel.
Lire la suite →2026-05-27
Anti-forensique Prefetch : ce que les attaquants peuvent cacher, ce qu'ils ne peuvent pas
EnablePrefetcher=0, suppression des fichiers .pf, le truc du renommer-avant-exécution. Le point de vue d'un praticien sur les attaques contre Prefetch qui fonctionnent et celles qui laissent une trace exploitable.
Lire la suite →2026-05-27
Prefetch comme preuve : ce que les fichiers .pf prouvent réellement
Windows Prefetch est l'artefact unique le plus fiable pour prouver une exécution en DFIR, mais à condition de comprendre ce qu'il ne dit pas. Le point de vue d'un praticien sur les fichiers .pf.
Lire la suite →2026-05-27
Pourquoi Windows Server n'a pas de fichiers prefetch — PrefetchParameters et SysMain expliqués
Prefetch est désactivé par défaut sur Windows Server, contrôlé par le registre et lié au service SysMain. Voici ce qui le gouverne et comment vérifier l'état sur un système en marche.
Lire la suite →2026-05-27
Le format de fichier Windows Prefetch à travers les versions
SCCA, compression MAM, sections A à D, et le champ de version. Un parcours pratique de l'évolution des fichiers .pf depuis XP jusqu'à Win11, et des parsers qui suivent.
Lire la suite →2026-05-27
La liste de chargement de fichiers : ce que chaque .pf peut révéler sur ce qu'a fait un binaire
La liste de chargement Prefetch est la partie que la plupart des analystes survolent. C'est aussi là que se cachent à découvert les DLL hijacks, les configs de malware et les ouvertures de documents. Un guide pratique.
Lire la suite →2026-05-27
Le programme a-t-il vraiment tourné ? Prefetch et l'exécution de processus
Prefetch est l'artefact unique le plus fort comme preuve d'exécution en DFIR Windows. Voici où l'affirmation tient, où elle se brise, et comment la solidifier avec EVTX 4688 et Sysmon.
Lire la suite →2026-05-27
Enquêter sur un ransomware avec Prefetch : un parcours
Un cas de ransomware fictif mais réaliste, reconstitué à partir de Prefetch. Les huit horodatages, la liste de chargement du chiffreur, les outils de mouvement latéral. Comment les fichiers .pf racontent l'histoire.
Lire la suite →2026-05-27
SuperFetch, SysMain et la confusion Prefetch sous Win10/11
SuperFetch est devenu SysMain à partir de Win10 1709. Prefetch est partiellement désactivé sur SSD. Voici ce que font vraiment les boutons du registre, et ce qu'il faut vérifier avant de faire confiance à un .pf.
Lire la suite →2026-05-26
Détecter la manipulation et l'anti-forensique de Windows Prefetch
Les attaquants suppriment, plantent et falsifient des fichiers .pf pour masquer les preuves d'exécution. Voici comment repérer les signes courants et ce que chacun révèle.
Lire la suite →2026-05-25
Comment analyser les fichiers Prefetch Windows — un parcours forensique
Un guide pratique pas à pas pour lire les fichiers .pf à la recherche de preuves d'exécution — quoi regarder, quoi ignorer, et comment corroborer ses conclusions.
Lire la suite →2026-05-24
Prefetch vs Amcache vs ShimCache — choisir le bon artefact d'exécution
Trois artefacts Windows enregistrent l'exécution de programmes. Ils se recoupent, mais chacun capture quelque chose que les deux autres ratent. Voici quand recourir à lequel.
Lire la suite →2026-05-23
Ce qui a changé dans Windows Prefetch v30 et v31 (Windows 10 et 11)
Le champ de version SCCA est le nombre unique le plus utile dans un fichier prefetch. Voici ce que signifie chaque version et ce qu'il faut surveiller en parsant v30 (Win10) et v31 (Win11).
Lire la suite →2026-05-22
Au cœur de la compression MAM — comment Windows 8+ empaquette les fichiers prefetch
Les fichiers .pf modernes commencent par une signature MAM et un payload compressé en Xpress Huffman. Voici comment fonctionne le framing, pourquoi il a été introduit, et ce qu'un parser doit faire pour le lire.
Lire la suite →2026-05-21
Comment est calculé le hash Windows Prefetch
Le suffixe de 8 caractères dans chaque nom de fichier .pf est un hash dérivé du chemin, et l'algorithme a changé trois fois. Voici ce qu'il calcule et pourquoi cela compte en analyse forensique.
Lire la suite →2026-05-20
Comprendre les fichiers Prefetch Windows en analyse forensique
Ce que les fichiers .pf enregistrent, pourquoi ils comptent, et comment ce parser les lit intégralement dans votre navigateur.
Lire la suite →