Analisando Arquivos Prefetch para Histórico de Execução

Quando Usar

• Ao determinar quais programas foram executados em um sistema Windows e quando
• Durante investigações de malware para confirmar a execução de binários suspeitos
• Para estabelecer uma linha do tempo de uso de aplicativos durante um incidente
• Ao correlacionar a execução de programas com outros artefatos forenses
• Para identificar ferramentas anti-forenses ou software não autorizado que foi executado

Pré-requisitos

• Acesso ao diretório Prefetch do Windows (C:\Windows\Prefetch) a partir da imagem forense
• PECmd (Eric Zimmerman), WinPrefetchView ou parser python-prefetch
• Compreensão do formato de arquivo Prefetch (versões 17, 23, 26, 30)
• Sistema Windows com Prefetch ativado (padrão em sistemas operacionais cliente, desativado em servidores)
• Conhecimento das convenções de nomenclatura do Prefetch (APPNAME-HASH.pf)

Fluxo de Trabalho

Passo 1: Extrair Arquivos Prefetch da Imagem Forense

# Mount the forensic image
mount -o ro,loop,offset=$((2048*512)) /cases/case-2024-001/images/evidence.dd /mnt/evidence

# Copy all prefetch files
mkdir -p /cases/case-2024-001/prefetch/
cp /mnt/evidence/Windows/Prefetch/*.pf /cases/case-2024-001/prefetch/

# Count and list prefetch files
ls -la /cases/case-2024-001/prefetch/ | wc -l
ls -la /cases/case-2024-001/prefetch/ | head -30

# Hash all prefetch files for integrity
sha256sum /cases/case-2024-001/prefetch/*.pf > /cases/case-2024-001/prefetch/pf_hashes.txt

# Note: Prefetch filename format is EXECUTABLE_NAME-XXXXXXXX.pf
# The hash (XXXXXXXX) is based on the executable path
# Same executable from different paths creates different prefetch files

Passo 2: Analisar Arquivos Prefetch com PECmd

# Using Eric Zimmerman's PECmd (Windows or via Mono/Wine on Linux)
# Download from https://ericzimmerman.github.io/

# Parse a single prefetch file
PECmd.exe -f "C:\cases\prefetch\POWERSHELL.EXE-A]B2C3D4.pf"

# Parse all prefetch files and output to CSV
PECmd.exe -d "C:\cases\prefetch\" --csv "C:\cases\analysis\" --csvf prefetch_results.csv

# Parse with JSON output
PECmd.exe -d "C:\cases\prefetch\" --json "C:\cases\analysis\" --jsonf prefetch_results.json

# Output includes for each file:
# - Executable name and path
# - Run count
# - Last run time (up to 8 timestamps in Windows 10)
# - Files and directories referenced during execution
# - Volume information (serial number, creation date)
# - Prefetch file creation time

Passo 3: Analisar com Python para Análise Baseada em Linux

pip install prefetch

python3 << 'PYEOF'
import os
import json
from datetime import datetime

# Analisar arquivos prefetch usando python
import struct

def parse_prefetch(filepath):
    """Analisa um arquivo Prefetch do Windows."""
    with open(filepath, 'rb') as f:
        data = f.read()

    # Verificar formato compactado MAM (Windows 10)
    if data[:4] == b'MAM\x04':
        import lznt1  # ou use DecompressBuffer
        # Arquivos prefetch do Windows 10 são compactados
        print(f"  [Formato Win10 compactado - use PECmd para análise completa]")
        return None

    # Versão 17 (XP), 23 (Vista/7), 26 (8.1), 30 (10)
    version = struct.unpack('<I', data[0:4])[0]
    signature = data[4:8]

    if signature != b'SCCA':
        print(f"  Assinatura prefetch inválida")
        return None

    file_size = struct.unpack('<I', data[8:12])[0]
    exec_name = data[16:76].decode('utf-16-le').strip('\x00')
    run_count = struct.unpack('<I', data[208:212])[0] if version >= 23 else struct.unpack('<I', data[144:148])[0]

    result = {
        'version': version,
        'executable': exec_name,
        'file_size': file_size,
        'run_count': run_count,
    }

    # Extrair os últimos carimbos de data/hora de execução
    if version == 23:  # Vista/7 - 1 carimbo de data/hora
        ts = struct.unpack('<Q', data[128:136])[0]
        result['last_run'] = filetime_to_datetime(ts)
    elif version >= 26:  # Win8+ - até 8 carimbos de data/hora
        timestamps = []
        for i in range(8):
            ts = struct.unpack('<Q', data[128+i*8:136+i*8])[0]
            if ts > 0:
                timestamps.append(filetime_to_datetime(ts))
        result['last_run_times'] = timestamps

    return result

def filetime_to_datetime(ft):
    """Converte Windows FILETIME para string datetime."""
    if ft == 0:
        return None
    timestamp = (ft - 116444736000000000) / 10000000
    try:
        return datetime.utcfromtimestamp(timestamp).strftime('%Y-%m-%d %H:%M:%S UTC')
    except (OSError, ValueError):
        return None

# Processar todos os arquivos prefetch

…