Prefetch — Historique d'exécution Windows

Qu'est-ce que le Prefetch ?

Windows crée des fichiers Prefetch (.pf) dans C:\Windows\Prefetch\ pour chaque programme exécuté. Ces fichiers contiennent le nom de l'exécutable, le nombre de fois lancé, et les dates des 8 dernières exécutions. Preuve irréfutable qu'un programme a tourné.

Analyse

# Localisation
C:\Windows\Prefetch\PROGRAMME.EXE-XXXXXXXX.pf

# Analyser avec PECmd (Eric Zimmermann Tools)
PECmd.exe -f "C:\Windows\Prefetch\CMD.EXE-A11DAC32.pf"
PECmd.exe -d "C:\Windows\Prefetch" --csv output/

# Linux (avec libscca)
pyscca_export.py -f CMD.EXE-A11DAC32.pf