Windows Prefetch
| Format | Windows Prefetch |
|---|---|
| Kurzname | Prefetch |
| Kategorie | execution |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Artefakte als Nachweis einer Ausführung unter Windows, die entstehen, wenn eine Anwendung zum ersten Mal von einem bestimmten Pfad aus gestartet wird. Gespeichert unter C:\Windows\Prefetch\ als {EXECUTABLE}-{HASH}.pf, wobei HASH aus dem vollständigen Gerätepfad der ausführbaren Datei abgeleitet wird (bei Hosting-Prozessen wie svchost.exe oder rundll32.exe auch aus der Befehlszeile). Auf Windows-Workstations standardmäßig aktiviert, auf Windows Server deaktiviert. Jede .pf-Datei enthält: Name der ausführbaren Datei, Ausführungszähler, bis zu 8 letzte Ausführungszeitstempel (Windows 8+; frühere Versionen speichern 1), eine Liste der Dateien und Verzeichnisse, auf die in den ersten 10 Sekunden der Ausführung zugegriffen wurde, sowie Seriennummer und Erstellungszeitstempel des Volumes. Hinweis: Der tatsächliche Ausführungszeitpunkt liegt etwa 10 Sekunden vor dem letzten Änderungszeitstempel der .pf-Datei. Forensisch: belegt eine Ausführung, auch wenn das ursprüngliche Binary gelöscht wurde, zeigt den Pfad, von dem aus Malware ausgeführt wurde, und deckt Anti-Forensik-Tools auf (Prefetch-Einträge von CCleaner, SDelete). Mehrere .pf-Dateien für dieselbe ausführbare Datei zeigen eine Ausführung von verschiedenen Pfaden an. Seit Windows 10 werden die Dateien komprimiert in einem MAM-Container gespeichert (LZXPRESS Huffman); der SCCA-Header ist erst nach der Dekompression sichtbar. Das Format wurde von Joachim Metz rekonstruiert (libscca); es gibt keine offizielle öffentliche Spezifikation.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 11 00 00 00 53 43 43 41 | ....SCCA | Prefetch-v17-Header (Windows XP/2003) |
| Offset 0 (0x0) | 17 00 00 00 53 43 43 41 | ....SCCA | Prefetch-v23-Header (Windows Vista/7) |
| Offset 0 (0x0) | 1A 00 00 00 53 43 43 41 | ....SCCA | Prefetch-v26-Header (Windows 8.0/8.1) |
| Offset 0 (0x0) | 1E 00 00 00 53 43 43 41 | ....SCCA | Prefetch-v30-Header (Windows 10, dekomprimiert) |
| Offset 0 (0x0) | 1F 00 00 00 53 43 43 41 | ....SCCA | Prefetch-v31-Header (Windows 11, dekomprimiert) |
| Offset 0 (0x0) | 4D 41 4D 04 | MAM. | Komprimierte Prefetch-Datei, MAM-Container 'MAM\x04' (Windows 10+) |
Bekannte Dateiendungen
.pf
Referenzen
- Windows Prefetch File format spec (libscca — Joachim Metz) https://github.com/libyal/libscca/blob/main/documentation/Windows%20Prefetch%20File%20(PF)%20format.asciidoc
- Prefetch forensics — execution evidence (Magnet Forensics) https://www.magnetforensics.com/blog/forensic-analysis-of-prefetch-files-in-windows/
- PECmd — Prefetch parser (Eric Zimmerman) https://ericzimmerman.github.io/#!index.md
- ForensicsWiki — Prefetch https://forensics.wiki/prefetch/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Prefetch“. https://kalink0.github.io/crush-forensics/formats/de/prefetch/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden