Prefetch y ejecución

2 tareas · 40 min · Principiante

0 de 2 · 0%

El servicio de optimización de arranque de Windows (Prefetch) crea archivos con extensión .pf en C:\Windows\Prefetch\ cuando un ejecutable se lanza. Los archivos prefetch almacenan el nombre del ejecutable, un hash del directorio origen, el número total de ejecuciones (run_count), las últimas 8 marcas de tiempo de ejecución (en Windows 10/11) y la lista de archivos y bibliotecas DLL cargados en memoria durante los primeros 10 segundos.

Responde para continuar

¿Qué información clave sobre la actividad de un ejecutable preserva un archivo de Prefetch en Windows moderno?

El contador de ejecuciones, hasta 8 marcas de tiempo de ejecución y las DLL cargadas inicialmente El código fuente completo en C# recompilado del programa ejecutado La dirección de correo electrónico del usuario que escribió el binario original El contenido de todos los documentos leídos por el usuario durante la sesión

Ver pista de ayuda

Observa el contador de ejecuciones, marcas temporales históricas y dependencias enlazadas.

Consulta en la tabla prefetch_runs el número de veces que se ha ejecutado PowerShell según su archivo prefetch.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el run_count registrado para POWERSHELL.EXE en la tabla prefetch_runs?

Ver pista de ayuda

Observa el valor de la columna run_count en la primera fila de prefetch_runs.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis Forense de Windows · Prefetch, Amcache & MFT

Forensic Artifact Analysis Engine (EZTools Output Parser)

Tablas

prefetch_runs

file_name
run_count
last_run_time
volume_path
source_hash

amcache_entries

sha1_hash
file_path
compile_time
pe_file_size
signer_name

timeline_gap

event_id
timestamp_utc
artifact_type
description
anomaly_flag

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Evidencia de ejecución histórica en archivos .pf

2 Contador de ejecuciones de PowerShell Lab

Whoami-Labs Pro utiliza cookies