Prefetch, Shimcache y Amcache, leídos juntos

Cada fichero de Prefetch lleva en el nombre el del ejecutable y un hash de ocho caracteres que sale de la ruta desde la que se lanzó. Por eso el mismo programa lanzado desde dos carpetas deja dos ficheros distintos, y por eso un nombre conocido, como el de una herramienta del sistema, en una carpeta poco habitual deja un rastro propio en lugar de confundirse con el legítimo. Dentro de cada fichero hay el contador de ejecuciones y las últimas ocho horas de ejecución.

Abre la tabla de Prefetch completa y fíjate en los ejecutables que aparecen más de una vez con hash distinto.

El mismo programa corrió una sola vez desde una carpeta temporal del perfil del usuario y varias veces desde una carpeta de datos compartidos del sistema. Esa segunda ruta es la que interesa: es donde un programa que quiere repetirse se deja de forma duradera. El fichero guarda las horas de las últimas ejecuciones, de la más reciente a la más antigua.

Consulta las dos filas del programa y quédate con la ejecución más reciente del que corrió desde C:\ProgramData. Escribe solo la hora, en el formato que usa la tabla.

Shimcache guarda la ruta de los ejecutables que Windows vio y, junto a ella, la fecha de modificación del fichero. Es un dato del fichero, no del momento en que corrió. Se vuelca al registro cuando el equipo se apaga, y la lista tiene un tamaño acotado, así que las entradas viejas terminan desplazadas. Su valor es otro: dice que un fichero concreto, en una ruta concreta, estuvo en el equipo, incluso cuando el fichero ya no existe.

En la tabla del equipo, tres rutas distintas comparten la misma fecha de modificación. Eso es una pista por sí misma.

Amcache inventaria los ejecutables que Windows ha visto y guarda, por cada uno, la ruta, el tamaño y el SHA-1. El nombre y la carpeta se cambian con un clic; el contenido, no. Dos rutas con el mismo SHA-1 son el mismo fichero, aunque se llamen distinto, y eso permite seguir un binario a través de copias y renombrados.

Pide la tabla de Amcache. Entre las rutas de C:\ProgramData\Montecarlo hay una que comparte hash con el ejecutable que se descargó en la carpeta Descargas del usuario.

La tabla de Shimcache y la de Amcache listan también herramienta-pdf-setup.exe, un instalador que el usuario bajó en agosto. No tiene fichero de Prefetch, y el equipo tenía Prefetch encendido para aplicaciones y arranque. Con eso se puede decir algo, pero no más de lo que sostienen los datos: dos artefactos de presencia que lo listan, y un artefacto de ejecución activo que no lo recoge.

Comprueba la tabla de configuración antes de decidir qué frase pones en el informe.