Prefetch — Prefetch (Windows)

Prefetch ist ein Windows-Mechanismus, der das Starten von Programmen beschleunigt, indem er für jede ausgeführte Anwendung eine kleine Datei mit Startinformationen anlegt. Forensisch ist das ein Glücksfall: Prefetch-Dateien belegen, welche Programme wann und wie oft gelaufen sind. Sie sind ein zentrales Indiz für Programmausführung.

Historie & Fakten. Eigentlich nur ein Performance-Feature, hinterlässt Prefetch ein wertvolles Artefakt: Pro ausgeführtem Programm entsteht eine Datei, die unter anderem den Namen, Zeitstempel der letzten Ausführungen und einen Ausführungszähler enthält. Für die Forensik ist das eine direkte Antwort auf die Frage, ob und wann ein bestimmtes Programm — etwa ein Schadwerkzeug — auf dem System lief, selbst wenn die ausführbare Datei selbst längst entfernt wurde. Ausblick & Empfehlung. Prefetch ist eines der zuverlässigsten Indizien für Programmausführung unter Windows und damit ein wichtiger Baustein der Timeline-Analyse. Da Angreifer dieses Artefakt kennen, kann sein Fehlen oder gezieltes Löschen selbst ein Hinweis sein (Antiforensik). Für belastbare Schlüsse werden Prefetch-Spuren mit anderen Ausführungsnachweisen und Zeitstempeln (MFT, Registry, Protokolle) zusammengeführt — Übereinstimmungen erhärten, Widersprüche entlarven.

Auch interessant