Prefetch Hash Cracker

Motivation

Lors de l'analyse forensique d'une machine Windows, il est possible de trouver le nom d'un fichier prefetch supprimé. Bien que son contenu ne soit pas récupérable, le nom du fichier lui-même est souvent suffisant pour retrouver le chemin complet de l'exécutable pour lequel le fichier prefetch a été créé.

Utilisation de l'outil

Les champs suivants doivent être fournis :

• Nom de l'exécutable
  Incluant l'extension. Il sera intégré dans le nom du fichier prefetch, à moins que ceci ne se produise.

• Hachage prefetch
  8 chiffres hexadécimaux à la fin du nom du fichier prefetch, juste avant l'extension .pf.

• Fonction de hachage

• Bodyfile

• Point de montage

Fonction de hachage

Il existe 3 fonctions de hachage prefetch connues :

• SCCA XP
  Utilisé dans Windows XP

• SCCA Vista
  Utilisé dans Windows Vista et Windows 10

• SCCA 2008
  Utilisé dans Windows 7, Windows 8 et Windows 8.1

Bodyfile

Un bodyfile du volume à partir duquel l'exécutable a été exécuté.

Le format du bodyfile n'est pas très restrictif, il en existe donc de nombreuses variations - certaines ne sont pas supportées. Les bodyfiles créés avec fls et MFTECmd devraient fonctionner correctement.

Point de montage

Le point de montage du bodyfile, comme souligné ci-dessous :

0|C:/Users/Peter/Desktop ($FILE_NAME)|62694-48-2|d/d-wx-wx-wx|...

Comment ça marche ?

Le bodyfile fourni est utilisé pour obtenir le chemin de chaque dossier du volume. L'outil ajoute le nom de l'exécutable fourni à chacun de ces chemins pour créer une liste de chemins complets possibles pour l'exécutable. Chaque chemin complet possible est ensuite haché à l'aide de la fonction de hachage fournie. S'il existe un chemin complet possible dont le résultat correspond au hachage fourni, ce chemin est affiché.

Limitations

Les cas suivants ne sont pas supportés :

• Les applications hôtes, telles que svchost.exe et mmc.exe
• Les applications exécutées avec le flag /prefetch:#
• Les applications exécutées depuis un chemin UNC (réseau)

La limite des 29 caractères

Si le nom de l'exécutable dépasse 29 caractères (extension incluse), il sera tronqué dans le nom du fichier prefetch. Par exemple, l'exécution de ce fichier :

This is a very long file nameSo this part will be truncated.exe

Depuis le répertoire C:\Temp sur une machine Windows 10, cela entraînera la création de ce fichier prefetch :

THIS IS A VERY LONG FILE NAME-D0B882CC.pf

Dans ce cas, le nom de l'exécutable ne peut pas être dérivé du nom du fichier prefetch, vous ne pourrez donc pas le fournir à l'outil.

Licence

MIT