¿Qué es el formato de archivo PF?
Un archivo .pf es un archivo de caché de Windows Prefetch, un registro binario propietario que el componente Windows Prefetcher genera para acelerar la carga de programas. Los archivos .pf son creados automáticamente por el sistema operativo y se almacenan en la carpeta C:\Windows\Prefetch. Cada archivo se nombra como NOMBRE-XXXXXXXX.pf, donde el sufijo hexadecimal de ocho caracteres es un hash derivado de la ruta completa del ejecutable. Tanto los servicios del sistema de Windows como las aplicaciones abiertas por el usuario generan archivos .pf.
Los archivos .pf aceleran significativamente el proceso de carga de las aplicaciones para las que se crean. La carpeta Prefetch y su contenido son, por tanto, parte de la tecnología de optimización del sistema Windows. Cada archivo .pf registra las DLL y los recursos que el programa cargó durante sus primeros segundos de ejecución, de modo que Windows pueda precargar esos activos en el próximo inicio. En Windows 8.1 y versiones posteriores, los archivos .pf se almacenan en formato comprimido MAM (codificación LZXPRESS Huffman) para ahorrar espacio. Windows sobrescribe metódicamente los archivos .pf más antiguos para mantener la carpeta dentro de su límite: 128 entradas en versiones anteriores y 1.024 en Windows 10 y posteriores.
Realizar tareas en un entorno Windows hará que la carpeta Prefetch crezca en tamaño, alcanzando a veces cientos de megabytes. Una carpeta Prefetch grande no es señal de un sistema mal configurado; al contrario: indica que el sistema está bien optimizado para la carga de aplicaciones. Los archivos .pf pueden eliminarse desde Windows, pero no se recomienda hacerlo, ya que Windows tendrá que reconstruirlos desde cero y los tiempos de inicio de las aplicaciones se ralentizarán temporalmente. Los investigadores forenses digitales valoran mucho los archivos .pf: en Windows 8 y versiones posteriores, cada archivo registra hasta ocho marcas de tiempo y un recuento de ejecuciones acumulado, lo que convierte al .pf en un artefacto principal para demostrar qué programas se ejecutaron, cuándo y con qué frecuencia.
La configuración de la función Prefetch puede modificarse editando los ajustes del registro en HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters. Algunas aplicaciones también aceptan un argumento de línea de comandos /prefetch:<número> para controlar su propia identidad de prefetch.
Seguridad y protección
RIESGO: LOWLos archivos .pf son metadatos inertes; no se ejecutan. Borrarlos es seguro pero generalmente inútil: Windows los reconstruye y el siguiente inicio de cada aplicación es brevemente más lento. La preocupación real es la privacidad/forense: debido a que el .pf registra qué se ejecutó y cuándo, las herramientas «anti-forenses» borran Prefetch, y su ausencia en un sistema configurado normalmente puede ser en sí misma una señal de alerta. El malware nombrado para imitar archivos del sistema sigue dejando un .pf que demuestra que se ejecutó.
Detalles del formato
en pocas palabrasProgramas que abren archivos PF
Windows3 apps
WinPrefetchView (NirSoft)
Gratis Abra el .pf para ver el ejecutable, el recuento de ejecuciones, las horas de la última ejecución y los archivos referenciados.
PECmd (Eric Zimmerman)
Gratis Línea de comandos: PECmd.exe -f archivo.pf (o -d en la carpeta Prefetch) para analizar todos los metadatos, incluidos los archivos de Win10/11 comprimidos con MAM, a formato CSV.
Windows (the OS itself)
Integrado No requiere acción: Windows crea, lee y mantiene los archivos .pf automáticamente para acelerar el inicio de las aplicaciones. Detalles técnicos
especificación profunda| Tipo de formato | Archivo de caché binario propietario; formato SCCA (SuperFetch Cache Common Architecture) |
| Magic bytes | SCCA en el desplazamiento de byte 4 (sin comprimir); MAM\x04 en el desplazamiento 0 (comprimido con MAM, Windows 8.1+) |
| Orden de bytes | Little-endian |
| Codificación | Binario |
| Compresión | Ninguna en Windows XP hasta 8; LZXPRESS Huffman (contenedor MAM) en Windows 8.1 y posteriores |
| Versiones del formato | v17 (0x11) XP/2003; v23 (0x17) Vista/7; v26 (0x1A) Windows 8; v30 (0x1E) Windows 10; v31 (0x1F) Windows 11 |
| Convención de nomenclatura de archivos | NOMBRE-XXXXXXXX.pf - hash hexadecimal de 8 caracteres de la ruta completa del ejecutable añadido al nombre del programa |
| Ruta de almacenamiento predeterminada | C:\Windows\Prefetch\ |
| Tamaño de archivo típico | 5 KB - 250 KB por ejecutable |
| Límite de entradas en la carpeta | 128 archivos (Windows XP - 8); 1.024 archivos (Windows 10 y posteriores) |
| Registro de tiempo de ejecución | 1 marca de tiempo de última ejecución (XP/Vista/7); hasta 8 marcas de tiempo más recuento de ejecuciones (Windows 8 y posteriores) |
| Profundidad de traza de inicio | Registra rutas de archivos, DLL y recursos cargados dentro de los primeros ~10 segundos de ejecución |
| Creador | Windows OS - componente Prefetcher del Memory Manager; no es creado por aplicaciones de usuario |
| Relevancia forense | Artefacto forense digital primario para evidencia de ejecución: demuestra que un programa se ejecutó, cuántas veces y sus últimas ocho horas de ejecución |
| Lanzado | Windows XP (2001) |
| Última versión | Format version 30/31 (Windows 10/11); MAM-compressed since Windows 8 (2012) |
| Especificación | www.forensicswiki.org |
Conversiones de PF
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos PF.
