Prefetch dosyaları, Windows’un sık kullanılan programları daha hızlı açmak için oluşturduğu küçük önbellek dosyalarıdır. Bir uygulama ilk kez çalıştırıldığında işletim sistemi, o programın açılışta hangi dosyalara ihtiyaç duyduğunu kaydeder ve bir sonraki açılışı hızlandırmak için bunu saklar. Adli açıdan asıl değeri ise bambaşka bir yerdedir: bu dosyalar, bir programın o makinede gerçekten çalıştırıldığının kanıtıdır.

Bir Prefetch dosyası, bir programın o makinede çalıştığını sessizce belgeler; kullanıcı programı silse bile bu iz geride kalabilir.

İçinde Ne Saklanır?

Her Prefetch dosyası C:\Windows\Prefetch klasöründe .pf uzantısıyla durur ve ilgili programın adını içeren bir dosya adına sahiptir. İçinde, programın çalıştırılma sayısı, en son çalıştırılma zamanı ve açılış sırasında dokunduğu dosya ve klasörlerin listesi bulunur. Yeni sürümlerde son sekiz çalıştırma zamanına kadar bilgi tutulabilmesi, tek bir dosyayı bile zengin bir kanıt kaynağına dönüştürür.

Bir programın hangi kaynaklardan yararlandığının kaydı, çalıştırılan zararlının nereden beslendiğini gösterebilir. Bu yönüyle Prefetch, bir olayda hangi araçların kullanıldığını belirlemek için başvurulan ilk adli bilişim artefaktlarından biridir.

Soruşturmada Nasıl Kullanılır?

Bir saldırgan sisteme bir araç bırakıp çalıştırdıktan sonra o aracı silse dahi, çoğu zaman Prefetch kaydı geride kalır. Bu kayıt, artık var olmayan bir dosyanın bir zamanlar çalıştırıldığını ve tam olarak ne zaman çalıştırıldığını gösterir. Çalıştırma zaman damgaları, olayların sırasını kurmak için diğer izlerle birlikte bir zaman çizelgesi analizi içine yerleştirilir.

Çalıştırma sayısı da anlamlıdır: bir aracın yalnızca bir kez mi yoksa defalarca mı çalıştırıldığı, saldırganın davranışı hakkında ipucu verir. Tek seferlik bir keşif aracı ile tekrar tekrar kullanılan bir sızma aracı, bu sayaç sayesinde ayrışır.

Silme ve İz Gizleme

Deneyimli saldırganlar Prefetch klasörünü temizlemeye ya da bu özelliği kapatmaya çalışabilir. Ancak bu tür bir temizliğin kendisi de bir izdir; klasörün beklenmedik biçimde boş olması ya da özelliğin devre dışı bırakılmış olması, bilinçli bir iz gizleme çabasına işaret eder. Bu davranışlar, geniş anti-forensic teknikler repertuvarının bir parçasıdır ve çoğu zaman gizlemeye çalıştıkları şey kadar dikkat çekicidir.

Privia Security, olay incelemelerinde Prefetch gibi çalıştırma artefaktlarını sistematik biçimde değerlendiren adli analiz hizmetiyle, bir saldırganın sistemde hangi araçları çalıştırdığını ve ne zaman çalıştırdığını ortaya koyar. Bu bulgular, daha geniş DFIR adli analiz ve olay müdahalesi sürecine doğrudan girdi sağlar.