アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

NTFS代替データストリームとPFファイル

NTFSの代替データストリーム(ADS)からプログラムを起動した場合でも Prefetch フォルダに.pfファイルが作成されます。例えば、a.txt:notepad.exe を実行した場合、
Prefetch フォルダには以下のファイルが作成されます。

例)A.TXT:NOTEPAD.EXE-1F3C4875.pf

PFファイルの内容(データ)は代替データストリーム上に置かれているので、エクスプローラからは A.TXT だけが見えます。ちなみに、Prefetch フォルダに作成されるファイル名はすべて大文字で統一されるようです。