harelsegev/prefetch-hash-crackerHerramienta de fuerza bruta que recupera rutas completas de ejecutables a partir de hashes de prefetch de Windows utilizando archivos body, compatible con funciones hash de XP, Vista y 2008 para análisis forense.
Durante el análisis forense de una máquina Windows, es posible que encuentres el nombre de un archivo prefetch eliminado. Aunque su contenido puede no ser recuperable, el nombre del archivo en sí suele ser suficiente para encontrar la ruta completa del ejecutable para el cual se creó el archivo prefetch.
Se deben proporcionar los siguientes campos:
Nombre del ejecutable
Incluyendo la extensión. Se incrustará en el nombre del archivo prefetch, a menos que esto ocurra.
Hash de prefetch
8 dígitos hexadecimales al final del nombre del archivo prefetch, justo antes de la extensión .pf.
Función hash
Bodyfile
Punto de montaje
Hay 3 funciones hash de prefetch conocidas:
SCCA XP
Usada en Windows XP
SCCA Vista
Usada en Windows Vista y Windows 10
SCCA 2008
Usada en Windows 7, Windows 8 y Windows 8.1
Un bodyfile del volumen desde el que se ejecutó el ejecutable.
El formato del bodyfile no es muy restrictivo, por lo que hay muchas variaciones del mismo, algunas de las cuales no son compatibles. Los bodyfiles creados con fls y MFTECmd deberían funcionar correctamente.
El punto de montaje del bodyfile, como se subraya a continuación:
0|C:/Users/Peter/Desktop ($FILE_NAME)|62694-48-2|d/d-wx-wx-wx|...El bodyfile proporcionado se utiliza para obtener la ruta de cada carpeta en el volumen. La herramienta añade el nombre del ejecutable proporcionado a cada una de esas rutas para crear una lista de posibles rutas completas para el ejecutable. Cada posible ruta completa se hashea utilizando la función hash proporcionada. Si existe una posible ruta completa cuyo resultado coincida con el hash proporcionado, esa ruta se muestra como resultado.
Los siguientes casos no son compatibles:
svchost.exe y mmc.exe/prefetch:#Si el nombre del ejecutable tiene más de 29 caracteres (incluyendo la extensión), se truncará en el nombre del archivo prefetch. Por ejemplo, ejecutar este archivo:
This is a very long file nameSo this part will be truncated.exe
Desde el directorio C:\Temp en una máquina con Windows 10, resultará en la creación de este archivo prefetch:
THIS IS A VERY LONG FILE NAME-D0B882CC.pf
En este caso, el nombre del ejecutable no se puede derivar del nombre del archivo prefetch, por lo que no podrá proporcionarlo a la herramienta.