Che cos'è il formato di file PF?
Un file .pf è un file di cache Prefetch di Windows - un record binario proprietario che il componente Prefetcher di Windows genera per velocizzare il caricamento dei programmi. I file .pf vengono creati automaticamente dal sistema operativo e memorizzati nella cartella C:\Windows\Prefetch. Ogni file è denominato NOME-XXXXXXXX.pf, dove il suffisso esadecimale di otto caratteri è un hash derivato dal percorso completo dell'eseguibile. Sia i servizi di sistema di Windows che le applicazioni aperte dall'utente generano file .pf.
I file .pf velocizzano significativamente il processo di caricamento delle applicazioni per le quali vengono creati. La cartella Prefetch e il suo contenuto sono quindi parte della tecnologia di ottimizzazione del sistema Windows. Ogni file .pf registra le DLL e le risorse caricate dal programma durante i suoi primi secondi di esecuzione, in modo che Windows possa pre-caricare tali asset al lancio successivo. Su Windows 8.1 e versioni successive, i file .pf sono memorizzati in forma compressa MAM (codifica LZXPRESS Huffman) per risparmiare spazio. Windows sovrascrive metodicamente i file .pf più vecchi per mantenere la cartella entro il suo limite - 128 voci sulle versioni precedenti e 1.024 su Windows 10 e successivi.
L'esecuzione di attività in un ambiente Windows comporterà la crescita delle dimensioni della cartella Prefetch, che a volte raggiunge centinaia di megabyte. Una cartella Prefetch di grandi dimensioni non è segno di un sistema configurato in modo errato - al contrario: indica che il sistema è ben ottimizzato per il caricamento delle applicazioni. I file .pf possono essere eliminati dall'interno di Windows, ma non è consigliabile farlo, poiché Windows dovrà ricostruirli da zero e i tempi di avvio delle applicazioni rallenteranno temporaneamente. Gli investigatori di informatica forense apprezzano molto i file .pf: su Windows 8 e versioni successive, ogni file registra fino a otto timestamp e un conteggio cumulativo delle esecuzioni, rendendo il .pf un artefatto primario per dimostrare quali programmi sono stati eseguiti, quando e quanto spesso.
La configurazione della funzione Prefetch può essere modificata modificando le impostazioni del registro in HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters. Alcune applicazioni accettano anche un argomento della riga di comando /prefetch:<numero> per controllare la propria identità di prefetch.
Sicurezza e incolumità
RISCHIO: LOWI file .pf sono metadati inerti; non si eseguono. Eliminarli è sicuro ma solitamente inutile - Windows li ricostruisce e l'avvio successivo di ogni app è brevemente più lento. La vera preoccupazione riguarda la privacy/forense: poiché il .pf registra cosa è stato eseguito e quando, gli strumenti «anti-forensi» cancellano il Prefetch, e la sua assenza su un sistema normalmente configurato può essere di per sé un segnale d'allarme. Il malware rinominato per imitare i file di sistema lascia comunque un .pf che ne prova l'esecuzione.
Dettagli del formato
in sintesiProgrammi che aprono file PF
Windows3 apps
WinPrefetchView (NirSoft)
Gratuito Apre il .pf per visualizzare l'eseguibile, il conteggio delle esecuzioni, gli orari dell'ultima esecuzione e i file referenziati.
PECmd (Eric Zimmerman)
Gratuito Riga di comando: PECmd.exe -f file.pf (o -d sulla cartella Prefetch) per analizzare tutti i metadati, inclusi i file di Win10/11 compressi MAM, in formato CSV.
Windows (the OS itself)
Integrato Nessuna azione necessaria - Windows crea, legge e mantiene i file .pf automaticamente per velocizzare l'avvio delle app. Dettagli tecnici
specifiche approfondite| Tipo di formato | File cache binario proprietario; formato SCCA (SuperFetch Cache Common Architecture) |
| Magic bytes | SCCA all'offset byte 4 (non compresso); MAM\x04 all'offset 0 (compresso MAM, Windows 8.1+) |
| Ordine dei byte | Little-endian |
| Codifica | Binario |
| Compressione | Nessuna da Windows XP a 8; LZXPRESS Huffman (wrapper MAM) su Windows 8.1 e versioni successive |
| Versioni del formato | v17 (0x11) XP/2003; v23 (0x17) Vista/7; v26 (0x1A) Windows 8; v30 (0x1E) Windows 10; v31 (0x1F) Windows 11 |
| Convenzione di denominazione dei file | NOME-XXXXXXXX.pf - hash esadecimale di 8 caratteri del percorso completo dell'eseguibile aggiunto al nome del programma |
| Percorso di archiviazione predefinito | C:\Windows\Prefetch\ |
| Dimensione tipica del file | 5 KB - 250 KB per eseguibile |
| Limite voci cartella | 128 file (Windows XP - 8); 1.024 file (Windows 10 e successivi) |
| Registrazione del tempo di esecuzione | 1 timestamp dell'ultima esecuzione (XP/Vista/7); fino a 8 timestamp più il conteggio delle esecuzioni (Windows 8 e successivi) |
| Profondità traccia di avvio | Registra percorsi di file, DLL e risorse caricate entro i primi ~10 secondi di esecuzione |
| Creatore | Sistema operativo Windows - componente Prefetcher del Memory Manager; non creato dalle applicazioni utente |
| Rilevanza forense | Artefatto primario di informatica forense per prove di esecuzione: dimostra che un programma è stato eseguito, quante volte e i suoi ultimi otto orari di esecuzione |
| Rilasciato | Windows XP (2001) |
| Ultima versione | Format version 30/31 (Windows 10/11); MAM-compressed since Windows 8 (2012) |
| Specifica | www.forensicswiki.org |
Conversioni PF
Domande e risposte della community
chiesto dagli utentiAncora nessuna domanda - sii il primo a chiedere informazioni sui file PF.
