O Prefetch é uma funcionalidade do Windows que tem como objetivo acelerar o carregamento dos programas e a inicialização do próprio sistema operativo. Saiba mais sobre este mecanismo.
O Prefetch funciona com base no registo de informações dos ficheiros e recursos que os programas mais utilizados necessitam. Essa informação é armazenada em ficheiros com extensão .pf no diretório C:\Windows\Prefetch.
Sempre que arranja o sistema ou executar uma aplicação, o Windows usa os dados guardados para carregar antecipadamente esses ficheiros para a memória RAM, evitando leituras desnecessárias do disco, acelerando assim o processo.
Devo eliminar os ficheiros da pasta Prefetch?
Não é recomendado apagar manualmente os ficheiros da pasta Prefetch. O Windows gere automaticamente esse diretório, removendo ficheiros antigos e procedendo à criação de novos conforme necessário. Apagar estes ficheiros não traz benefícios de desempenho; pelo contrário, pode deixar o sistema mais lento temporariamente, pois o Windows terá de voltar a criar todos os ficheiros de prefetch à medida que utiliza os programas novamente.
No que diz respeito à informação mantida nestes ficheiros destaque para:
- Nome do executável e caminho de execução
- Hash do caminho do executável
- Data/hora de criação, modificação e último acesso
- Número de execuções
- Data/hora das últimas oito execuções
- Lista de ficheiros e diretórios acedidos pelo executável
Valor Forense dos ficheiros Prefetch
- Evidência de execução
- Permitem provar que determinado programa foi executado, mesmo que o executável já tenha sido removido do sistema.
- Reconstrução de eventos
- Através dos carimbos de data/hora, é possível criar uma linha temporal detalhada das ações do utilizador ou de um atacante.
- Deteção de malware
- Prefetch regista execuções de ferramentas de limpeza, scripts maliciosos, ou programas de ataque, mesmo que tentem apagar rastos.
- Identificação de ficheiros acedidos
- Revelam que outros ficheiros e diretórios foram utilizados durante a execução de um programa, útil para rastrear movimentação lateral ou exfiltração de dados.
Os Ficheiros Prefetch podem ser apagados manualmente ou por ferramentas de limpeza, afetando assim a integridade da evidência ou até mesmo toda a evidência.
Para a visualização do conteúdo destes ficheiros com extensão .pf, aconselhamos o uso da ferramenta WinPrefetchView.