Windows prefetch что за папка

Обновлено: 04.07.2024

Сложно, не будучи специалистом, уследить за развитием операционной системы Windows. Но существуют элементарные понятия, которые должен понимать каждый пользователь. Знание того, какие папки и за что отвечают в Windows, позволят легче ориентироваться в системе. Примером неизвестных нам файлов является содержимое C:/Windows/Prefetch.

Предназначение папки

Ответим на вопрос: зачем нужна папка Prefetch? Windows при запуске анализирует программы, которыми мы часто пользуемся (открываем самостоятельно или с помощью автозагрузки). Затем система создает сведения об этих программах, которые хранит в специальных временных файлах в папке Prefetch. При последующем включении Windows эти файлы ускоряют загрузку ОС.

За выполнение этой работы отвечает компонент ОС Prefetcher. Если их удалить, никаких изменений не произойдет. При последующем запуске, Windows снова соберет актуальные данные о программах и поместит в папку Prefetch. При этом загрузка ОС может длиться немного дольше, чем обычно.

Впервые Prefetch использовали в Windows ХР. С появлением Windows Vista папка была дополнена технологиями SuperFetch (отвечает за анализ часто запускающихся приложений) и ReadyBoost (отвечает за увеличение быстродействия). Найти ее можно по такому пути: C:/Windows/Prefetch.

Управление службой Prefetcher

Управлять работой службы Prefetcher можно в редакторе реестра:

    Нажмите комбинацию клавиш Win+R и пропишите

Regedit

Редактор реестра

Параметр EnablePrefetcher

Данный параметр оперирует значениями от 0 до 3, которые означают:

По умолчанию стоит значение 3. Для того, чтобы отключить службу, введите значение 0 и сделайте рестарт ПК.

Важно! Разработчики позаботились о том, чтобы папка Prefetch не накапливала файлы (и гигабайты места на диске), создав ограничение трассировочным файлам на 128 штук.

Ответы на вопросы

Можно ли удалить папку Prefetch и данные что она хранит?

Prefetch

Вы замедлите запуск приложений, которыми постоянно пользуетесь, так как один и тот же файл будет открываться по несколько раз для чтения в различных сегментах. Не мешают ли в работе старые данные, может их нужно удалить? Не переживайте, служба полностью автоматизирована. Prefetcher каждый раз проводит анализ приложений и актуализирует данные.

Если у вас остались вопросы свяжитесь с нами. Опишите вашу проблему в деталях, чтобы мы смогли помочь.

Рассмотрение вопроса начнем с подачи теоретического материала. При старте операционная система отслеживает процесс загрузки, сохраняя о нем все данные для ускорения последующего запуска в каталоге Prefetch. Что за папка перед нами?

prefetch что за папка

По сути, это директория на жестком диске компьютера, содержащая актуальные данные, параметры и компоненты полного цикла загрузки системы и запуска наиболее часто используемых программ.

Чтобы в следующий раз не загружать все компоненты с нуля, Windows и использует данные, сохраненные на винчестере. Некоторые юзеры, правда, утверждают, что для каждого последующего запуска системы информация, хранящаяся в каталоге Prefetch, становится устаревшей. Поэтому, с их точки зрения, время от времени нужно очищать директорию Prefetch. Что за папка Prefetch, немного понятно. А вот далеко не все любители очистки знают, что данные в ней перезаписываются автоматически после каждого старта или запуска приложения.

Посмотрим на практические стороны вопроса об удалении ее содержимого. Чуть позже будет сказано о том, как отключить использование функции ускорения загрузки, если это кому-то уж слишком сильно мешает.

Папка Prefetch: какие файлы она хранит и зачем они нужны?

Prefetch что за папка можно ли удалить?

Сложно, не будучи специалистом, уследить за развитием операционной системы Windows. Но существуют элементарные понятия, которые должен понимать каждый пользователь. Знание того, какие папки и за что отвечают в Windows, позволят легче ориентироваться в системе. Примером неизвестных нам файлов является содержимое C:/Windows/Prefetch.

Предназначение папки

Ответим на вопрос: зачем нужна папка Prefetch? Windows при запуске анализирует программы, которыми мы часто пользуемся (открываем самостоятельно или с помощью автозагрузки). Затем система создает сведения об этих программах, которые хранит в специальных временных файлах в папке Prefetch. При последующем включении Windows эти файлы ускоряют загрузку ОС.

За выполнение этой работы отвечает компонент ОС Prefetcher. Если их удалить, никаких изменений не произойдет. При последующем запуске, Windows снова соберет актуальные данные о программах и поместит в папку Prefetch. При этом загрузка ОС может длиться немного дольше, чем обычно.

Впервые Prefetch использовали в Windows ХР. С появлением Windows Vista папка была дополнена технологиями SuperFetch (отвечает за анализ часто запускающихся приложений) и ReadyBoost (отвечает за увеличение быстродействия). Найти ее можно по такому пути: C:/Windows/Prefetch.

Управление службой Prefetcher

Управлять работой службы Prefetcher можно в редакторе реестра:

  1. Нажмите комбинацию клавиш Win+R и пропишитеRegedit
  2. В редакторе следуем по пути:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters
  3. Открываем параметр EnablePrefetcher и смотрим на значение, что в нем указано.

Данный параметр оперирует значениями от 0 до 3, которые означают:

  • 0x00000000 — отключение компонента;
  • 0x00000001 — ускорение загрузки приложений;
  • 0x00000002 — ускорение запуска Windows;
  • 0x00000003 — ускорение загрузки ОС и приложений.

По умолчанию стоит значение 3. Для того, чтобы отключить службу, введите значение 0 и сделайте рестарт ПК.

Важно! Разработчики позаботились о том, чтобы папка Prefetch не накапливала файлы (и гигабайты места на диске), создав ограничение трассировочным файлам на 128 штук.

Ответы на вопросы

Нет. Это не имеет смысла, по трем причинам:

  • файлы занимают мало места;
  • удалив файлы вы замедлите процесс запуска приложений и ОС;
  • система самостоятельно анализирует, создает и удаляет файлы, поэтому, удаленные элементы будут созданы заново.

Вы замедлите запуск приложений, которыми постоянно пользуетесь, так как один и тот же файл будет открываться по несколько раз для чтения в различных сегментах.

Не переживайте, служба полностью автоматизирована. Prefetcher каждый раз проводит анализ приложений и актуализирует данные.

Если у вас остались вопросы свяжитесь с нами. Опишите вашу проблему в деталях, чтобы мы смогли помочь.

Папка Prefetch в Windows 7 и выше: стоит ли ее очищать

Удаление данных из этого каталога никаких критических изменений в работе системы или установленных программ не вызовет.

папка prefetch в windows 7

Но вот абсолютно неправы все те, кто утверждает, что после удаления информации из этого каталога загрузка системы и запуск приложений станет быстрее. Как раз наоборот, ведь системе или программе придется заново запускать собственные модули, помещая их в оперативную или виртуальную память компьютерного устройства, а это занимает время. Использование данных директории Prefetch затрачиваемое на эти процессы время сокращает существенно. Поэтому очисткой по большому счету заниматься нежелательно, тем более — удалять саму папку.

Тут важно понимать, что при последующих загрузках данные о процессе все равно будут сохранены. Так что очистка и удаление окажутся тем, что принято называть «сизифов труд».

Управление компонентами SuperFetch и Prefetch

По умолчанию Windows 7, 8, 10 отключает автоматически SuperFetch и Prefetch при обнаружении загрузки системы с SSD. Для SSD данные технологии не представляют ценности и вовсе тормозят процессы запуска, излишними операциями. Если ОС автоматически для SSD не отключила данные компоненты, тогда читайте инструкцию ниже.

SuperFetch – это служба, которая предсказывает, какие приложения Вы будете запускать дальше, и предварительно загружает эти данные в память. Windows дает возможность пользователю изменить настройки или отключить SuperFetch и Prefetch, через реестр и службы ОС. Если Вы используете традиционный HDD, тогда эти функции отключать не рекомендуется.

Важно! Во избежание ошибок, сделайте резервную копию реестра или точку восстановления системы.

8,10. В реестре перейдите до раздела PrefetchParameters (путь внизу скриншота). Обратите внимание на 2 параметра EnablePrefetcher, EnableSuperfetch.

Значения для EnablePrefetcher:

  • 0 – отключение;
  • 1 — Включение для запуска приложений;
  • 2 — Включение для запуска системы;
  • 3 — Включение для запуска приложений и системы.

По умолчанию задано значение 3, измените его на 0 или на 1, 2. После изменений кликните OK.


Значения для EnableSuperfetch:

  • 0 – отключение;
  • 1 — Включение для загрузочных файлов;
  • 2 — Включение для приложений;
  • 3 — Включение для загрузочных файлов и приложений.

Теперь Вы знаете, что за папка Prefetch, можно ли удалить и какие компоненты ОС ей управляют. Содержимое папки лучше не трогать, она обслуживает сама себя, нет необходимости участия пользователя. На HDD лучше не отключать функции SuperFetch и Prefetch, это замедлит систему в целом.

Ответы:

Vladimir: В папке Temp хранятся временные файлы. Можно смело удалять оттуда. В папке Prefetch — не помню точно, что там хранится, но удалять оттуда файлы так же можно, проблем не будет.

Leshiy: В папке Prefetch лежат программы, которые загружаются при запуске Виндовс, с целью быстрого запуска этих самых программ. Удалять не только можно, но и нужно, иначе их собирается слишком много и это замедляет запуск и работу самой винды. Смотри, что действительно часто используешь, а остальное — в корзину!

Markiz: По поводу Prefetch вот, что нашел. В папке prefetch (.pf расширение) содержится инф. о часто открываемых прог. и сервисов, для более быстрой их последующей загрузки. Из неё можно всё удалить, система будет грузиться быстрее, а проги (в первый раз) медленнее. Потом снова образуются файлы. Можно чистить, даже нужно иногда.

Mamluk: В папке prefetch содержится информация и о загружаемых вирусах. Поэтому при ручной чистке неудивительно повторное заражение. Поэтому чистить обязательно, а еще лучше установить режим не записывать в папку ничего.

SHiKiGAMY: У меня такой папки уже нет. Сделал функцию \»don\»t prefetch\». Используйте специальные проги для удаления \»мусора\» из \»темп\»ов\» и префетча. Например Ace Utilites или WinXP Manager.

Iwan: Windows XP по умолчанию создает папку %systemroot%\\prefetch. Используется она для ускорения запуска недавно использовавшихся программ, что очень тормозит загрузку системы. Если важнее скорость загрузки системы, выполните нижеизложенное. Чтобы отключить эту функцию: HKEY_LOCAL_MASHINE\\SYSTEM\\CurrentControlSet\\Control\\Session Manager\\Memory Management\\PrefetchParameters сделаем параметр EnablePrefetcher равным 0.

Сложно, не будучи специалистом, уследить за развитием операционной системы Windows. Но существуют элементарные понятия, которые должен понимать каждый пользователь. Знание того, какие папки и за что отвечают в Windows, позволят легче ориентироваться в системе. Примером неизвестных нам файлов является содержимое C:/Windows/Prefetch.

Управление содержимым каталога Prefetch

Если уж кому-то не нужна эта служба, от нее можно избавиться. Для этого следует войти в редактор системного реестра (команда regedit в меню «Выполнить», вызываемом сочетанием Win + R).

windows prefetch что за папка

Здесь нужно выбрать ветку HKLM, а затем через системный каталог (SYSTEM) и настройки текущих параметров контроля (CurrentControlSet) спуститься до раздела инспектирования памяти, где и находится искомый каталог PrefetchParameters. В нем содержатся ключи формата 0x0000000z, где «z» может принимать четыре варианта значений:

  • 0 – полное отключение;
  • 1 – ускорение только запуска программ;
  • 2 – оптимизация только загрузки Windows;
  • 3 – задействование функции в полном объеме (и для системы, и для приложений).

Те же настройки можно произвести и в редакторе групповых политик или в инструментарии администрирования компьютера.

Остается добавить, что каталог располагается в системном разделе по пути Windows/Prefetch. Что за папка и для чего она нужна, думается, уже понятно. Если дать небольшой совет напоследок, лучше не заниматься очисткой содержимого каталога или изменением параметров службы, установленных в системе по умолчанию.

Очистка папки Prefetch

Разработчики из Microsoft решили, что папки Temp занимают слишком маленький объем вашего дискового пространства, так почему бы не создать еще одну папку, выполняющую аналогичные действия? Большое спасибо! Нет, правда, спасибо.

Вероятно, у нас очень мало папок, которые просто съедают свободное дисковое пространство. Теперь, кроме папки Temp, у нас есть замечательная папка Prefetch. Функции этой папки отличаются от функций, выполняемых папкой Temp, однако, как и в папке Temp, в ней может веками храниться мусор, если вы не удалите его вручную. Поэтому советую периодически очищать эту папку (C:\Windows\Prefetch). И не волнуйтесь, система от этого не пострадает. Любые удаленные файлы, которые необходимы Windows, будут автоматически воссозданы.

Предназначение папки

Ответим на вопрос: зачем нужна папка Prefetch? Windows при запуске анализирует программы, которыми мы часто пользуемся (открываем самостоятельно или с помощью автозагрузки). Затем система создает сведения об этих программах, которые хранит в специальных временных файлах в папке Prefetch. При последующем включении Windows эти файлы ускоряют загрузку ОС.

За выполнение этой работы отвечает компонент ОС . Если их удалить, никаких изменений не произойдет. При последующем запуске, Windows снова соберет актуальные данные о программах и поместит в папку Prefetch. При этом загрузка ОС может длиться немного дольше, чем обычно.

Впервые Prefetch использовали в Windows ХР. С появлением Windows Vista папка была дополнена технологиями SuperFetch (отвечает за анализ часто запускающихся приложений) и ReadyBoost (отвечает за увеличение быстродействия). Найти ее можно по такому пути: C:/Windows/Prefetch.

Ответы на вопросы

Можно ли удалить папку Prefetch и данные что она хранит?

Нет. Это не имеет смысла, по трем причинам:


Ребята привет Prefetch это папка, в которой хранятся непростые данные, а те которые позволяют работать Windows быстрее. Эти данные, это результат работы службы , которая в свою очередь анализирует работу юзера за компом и старается сделать так, чтобы в следующий раз все действия которые он делал, чтобы они происходили быстрее.

Поэтому папку Prefetch можно назвать даже магической, потому что благодаря ей компьютер может работать намного быстрее. Но насколько именно, это уже зависит от свободного обьема ОЗУ. Чем больше оперативки, тем соответственно лучше

Вот содержимое папки Prefetch у меня:

Если открыть ее свойства, то увидим сколько она занимает места:


Как видите места она занимает ну очень мало, так что лучше ее не удалять. Но что же будет если все таки удалить? Ничего страшного не будет, просто служба начнет работать заново.

Я вот ее у себя для проверки удалил. Потом сделал перезагрузку, после которой система работала исправно и все было нормально.

Я думал что если отключить службу SuperFetch, то папка не будет появляется после удаления. Но нет, она появилась все равно. Но в ней ничего не было кроме папки ReadyBoot. То есть папка Prefetch каким-то боком еще относится и к технологии ReadyBoot, это тоже для ускорения компа, и для ускорения используется флешка… Но это уже совсем другая история

На всякий случай скажу как вам можно отключить SuperFetch. Значит смотрите, запускаете диспетчер, там идете на вкладку Службы и на ней нажимаете эту кнопку:

Откроется окно, в котором будет список служб. Не все они работают, это просто все которые есть в винде. Тут нужно найти SuperFetch и нажать по ней два раза.

Управление службой Prefetcher

Управлять работой службы Prefetcher можно в редакторе реестра:

Данный параметр оперирует значениями от 0 до 3, которые означают:

  • 0x00000000 — отключение компонента;
  • 0x00000001 — ускорение загрузки приложений;
  • 0x00000002 — ускорение запуска Windows;
  • 0x00000003 — ускорение загрузки ОС и приложений.

По умолчанию стоит значение 3. Для того, чтобы отключить службу, введите значение 0 и сделайте рестарт ПК.

Важно! Разработчики позаботились о том, чтобы папка Prefetch не накапливала файлы (и гигабайты места на диске), создав ограничение трассировочным файлам на 128 штук.

Удаление ненужных файлов

Знаете, я никогда не понимал назначение папки Temp в Windows. Я имею в виду, что не знаю, зачем она нужна и что делает. Например, если при установке программы произошел сбой, то в эту папку копируются некие файлы, которые впоследствии не нужны, их можно просто удалить, не причинив никакого вреда системе. Если произошел сбой в работе, то обязательно проверьте папку Temp, вы, наверняка, найдете в ней массу файлов, занимающих драгоценное место на вашем диске.

Папки Temp расположены в двух местах: C:\Windows\Temp и C:\Documents and Settings\Имя_пользователя\LocalSettings\Temp. По умолчанию папка Local Settings является скрытой, поэтому, чтобы увидеть эту папку, вам придется включить соответствующую опцию. Теперь перейдите в эти папки и удалите все содержимое.

Если вы прежде не открывали эти папки, то, вероятно, будете шокированы тем, что в них творится.

Продолжая изучать компьютер на предмет различных папок и файлов, вы можете обнаружить много интересного. Зачастую те же папки вызывают неподдельный интерес по той простой причине, что файлы в них порой занимают немало места на жестком диске, в результате чего возникает вопрос, можно ли удалять эти файлы. Сегодня поговорим о папке Prefetch.

Папка Prefetch находится в папке Windows (обычно это C:\Windows\Prefetch). Она используется как один из компонентов для загрузки операционной системы Windows, благодаря которому загрузка ОС ускоряется, а время, затрачиваемое на запуск программ, уменьшается. Сам компонент называется Prefetcher и впервые появился еще на Windows XP.

Как работает Prefetcher? Загрузка операционной системы сопровождается обработкой большого количества файлов. При этом некоторые файлы открываются множество раз для чтения различных сегментов. Этот процесс может занимать много времени, поэтому куда удобнее и продуктивнее обращаться к каждому из файлов только один раз, загружая информацию в оперативную память ещё до того, как она станет нужной. Prefetcher позволяет накапливать эти сведения в файлах трассировки для оптимизации загрузки кода и данных при следующих запусках за счет того, что наблюдает за тем, какой код и данные загружаются в процессе запуска операционной системы и приложений.

Параметры Prefetcher хранятся в системном реестре. Вы можете изменить параметры Prefetcher.


Когда редактор будет открыт, пройдите по следующему пути: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters.

Выберите параметр EnablePrefetcher.


Кликните по нему два раза. Появится окно, в котором вы можете установить одно из значений:

  • 0x00000000 — компонент отключен
  • 0x00000001 — ускорение запуска приложений
  • 0x00000002 — ускорение загрузки системы
  • 0x00000003 — ускорение запуска приложений и загрузки системы

Нужно вводить не указанный параметр, а только цифру на его конце, например, 0, 1, 2 или 3.


И будьте внимательны при работе с реестром. Если чего-то не понимаете, не меняйте ничего, поскольку одно неосторожное движение может привести к проблемам в работе операционной системы!

Можно ли удалить папку Prefetch?

Существует легенда, согласно которой в папке Prefetch собираются файлы, которые требуют удаления. Это не так. Файлы временные и система при необходимости самостоятельно их удаляет, поэтому, кстати, размер папки такой небольшой. Так что файлы в указанной папке трогать не стоит.

Если же вы все-таки удалите файлы, то ничего не произойдет, однако скорость загрузки приложений может упасть. При этом файлы будут созданы заново автоматически.

Комментарии к записи “ Prefetch: что это за папка и можно ли ее удалить? ”

Спасибо, что есть подобные разделы в интернете. В паспорте компа ничего дельного нет, а за счет материалов в сети я разгрузил память своего железа почти до девственной, какой она была при покупке.

вот блин, а я где-то прочитал, типа удали и тебе будет хорошо

полностью удалил, скорость добавилась


Файлы трассировки, или Prefetch-файлы, появились в Windows еще со времен XP. С тех пор они помогали специалистам по цифровой криминалистике и реагированию на компьютерные инциденты находить следы запуска программ, в том числе вредоносных. Ведущий специалист по компьютерной криминалистике Group-IB Олег Скулкин рассказывает, что можно найти с помощью Prefetch-файлов и как это сделать.

Prefetch-файлы хранятся в каталоге %SystemRoot%\Prefetch и служат для ускорения процесса запуска программ. Если мы посмотрим на любой из этих файлов, то увидим, что его имя состоит из двух частей: имени исполняемого файла и контрольной суммы от пути к нему, состоящей из восьми символов.

Prefetch-файлы содержат массу полезной с криминалистической точки зрения информации: имя исполняемого файла, количество его запусков, списки файлов и каталогов, с которыми взаимодействовал исполняемый файл, и, разумеется, временные метки. Обычно криминалисты используют дату создания того или иного Prefetch-файла для определения даты первого запуска программы. Кроме того, данные файлы хранят дату ее последнего запуска, а начиная с версии 26 (Windows 8.1) — временные метки семи последних запусков.

Давайте возьмем один из Prefetch-файлов, извлечем из него данные средствами PECmd Эрика Циммермана и посмотрим на каждую их часть. Для демонстрации я извлеку данные из файла CCLEANER64.EXE-DE05DBE1.pf.

Итак, начнем сверху. Разумеется, у нас есть временные метки создания, модификации и доступа к файлу:


За ними следуют имя исполняемого файла, контрольная сумма пути к нему, размер исполняемого файла, а также версия Prefetch-файла:


Так как мы имеем дело с Windows 10, далее мы увидим количество запусков, дату и время последнего запуска и еще семь временных меток, указывающих на предыдущие даты запуска:


За ними следует информация о томе, включая его серийный номер и дату создания:


И последнее, но не менее важное — список каталогов и файлов, с которыми взаимодействовал исполняемый файл:


Итак, каталоги и файлы, с которыми взаимодействовал исполняемый файл, — это как раз то, на чем я хочу сегодня сосредоточиться. Именно эти данные позволяют специалистам по цифровой криминалистике, реагированию на компьютерные инциденты или проактивному поиску угроз установить не только факт исполнения того или иного файла, но и, в некоторых случаях, — реконструировать конкретные тактики и техники атакующих. Сегодня злоумышленники достаточно часто используют инструменты для безвозвратного удаления данных, например, SDelete, поэтому способность восстанавливать хотя бы следы использования тех или иных тактик и техник просто необходима любому современному защитнику — компьютерному криминалисту, специалисту по реагированию на инциденты, ThreatНunter-эксперту.

Давайте начнем с тактики Initial Access (TA0001) и самой популярной техники — Spearphishing Attachment (T1193). Некоторые киберпреступные группы относятся к выбору таких вложений довольно творчески. Например, группа Silence использовала для этого файлы в формате CHM (Microsoft Compiled HTML Help). Таким образом, перед нами еще одна техника — Compiled HTML File (T1223). Такие файлы запускаются с помощью hh.exe, следовательно, если мы извлечем данные из его Prefetch-файла, то узнаем, какой именно файл был открыт жертвой:


Продолжим работать с примерами из реальных дел и перейдем к следующей тактике Execution (TA0002) и технике CSMTP (T1191). Microsoft Connection Manager Profile Installer (CMSTP.exe) может использоваться атакующими для запуска вредоносных сценариев. Хороший пример — группа Cobalt. Если мы извлечем данные из Prefetch-файла cmstp.exe, то снова сможем узнать, что именно было запущено:


Еще одна популярная техника — Regsvr32 (T1117). Regsvr32.exe также часто используется атакующими для запуска. Вот и еще один пример от группы Cobalt: если мы извлечем данные из Prefetch-файла regsvr32.exe, то снова увидим, что было запущено:


Следующие тактики — Persistence (TA0003) и Privilege Escalation (TA0004), а также Application Shimming (T1138) в качестве техники. Эта техника использовалась Carbanak/FIN7 для закрепления в системе. Обычно для работы с базами данных с информацией о совместимости программ (.sdb) используется sdbinst.exe. Следовательно, Prefetch-файл данного исполняемого файла может помочь нам узнать имена таких баз данных и их расположение:


Как видно на иллюстрации, мы имеем не только имя файла, использованного для инсталляции, но и имя инсталлированной базы данных.

Давайте взглянем на один из наиболее типичных примеров продвижения по сети (TA0008) — PsExec, использующего административные общие ресурсы (T1077). Служба с именем PSEXECSVC (разумеется, может использоваться и любое другое имя, если атакующие использовали параметр -r) будет создана на целевой системе, следовательно, если мы извлечем данные из Prefetch-файла, то увидим, что было запущено:


Закончу я, пожалуй, на том, с чего начинал — удаление файлов (T1107). Как я уже отмечал, многие атакующие используют SDelete для безвозвратного удаления файлов на разных стадиях жизненного цикла атаки. Если мы взглянем на данные из Prefetch-файла sdelete.exe, то увидим, что именно было удалено:


Разумеется, это не исчерпывающий список техник, которые можно обнаружить в ходе анализа Prefetch-файлов, но этого должно быть вполне достаточно, чтобы понять, что такие файлы могут помочь не только найти следы запуска, но и реконструировать конкретные тактики и техники атакующих.

В процессе изучения Windows 7, 8, 10, либо устранения возникших проблем, Вы столкнетесь с необходимостью знакомства с компонентами и предназначения папок ОС. В данном материале разберем такие вопросы: Prefetch - что за папка, можно ли удалить, и где она находится.

Расположение и функции папки Prefetch

Каждый раз, когда Вы включаете компьютер, Windows отслеживает, как запускается Ваш ПК, и какие программы Вы часто открываете. Windows сохраняет эту информацию в виде небольших файлов в папке Prefetch. При следующем включении компьютера ОС ссылается на эти файлы, чтобы ускорить процесс запуска.

Папка Prefetch находится в каталоге ОС, полное расположение выглядит так:

C:\Windows\Prefetch. В вашем конкретном случае метка тома может отличаться.

содержимое папки prefetch

Перейдя в папку, Вы увидите каталог ReadyBoot и файлы в основном с расширением pf. Например, загрузка ОС трассируется в файл с названием NTOSBOOT-B00DFAAD.pf. Все остальные элементы являются трассировками запуска программ и служебных компонентов. Файлы имеют в названии имя исполняемого файла, его шестнадцатеричного хеша пути и расширение, например, EXCEL.EXE-53A22446.pf.

Работу по формированию файлов трассировки выполняет компонент Prefetcher, но без функционирующего планировщика заданий Prefetcher будет работать неправильно. Данные поступившие от Prefetcher обрабатываются планировщиком заданий и далее записываются в папку Prefetch.

файл layout.ini в папке prefetch

Также стоит обратить внимание на файл Layout.ini. Он создается каждые 3 дня и хранит в себе данные (перечень файлов и папок), которые используются при запуске системы и программ. Данные из Layout.ini использует утилита дефрагментации диска для рационального размещения файлов на жестком диске.

Мифы про удаление содержимого папки Prefetch

Часто утверждается, что удаление папки Prefetch приводит к меньшему времени загрузки и большей свободной памяти. Некоторые эксперты считают, что Windows загружает информацию из папки Prefetch для всех программ, которые когда-нибудь запускались на ПК, в оперативную память, тем самым заполняя ее неиспользуемыми данными (это неверно). Эти эксперты рекомендуют удалять на регулярной основе содержимое папки Prefetch, чтобы сохранить память от неиспользуемых данных.

свойства папки prefetch

Папка Prefetch является самообслуживающейся, нет необходимости удалять или очищать ее содержимое. Windows поддерживает определенное число записей в Prefetch и очищает автоматически излишние данные, предотвращая увеличение объемов папки. Если Вы опустошите содержимое папки вручную, тогда Windows и программы займут больше времени для запуска при следующем включении компьютера. Удаленные данные будут воссоздаваться, что приведет к длительному времени загрузки. Удалять папку Prefetch или ее содержимое с точки зрения освобождения памяти на жестком диске бессмысленно, тат как она весит мало. В нашем случае это около 40 мб.

Управление компонентами SuperFetch и Prefetch

По умолчанию Windows 7, 8, 10 отключает автоматически SuperFetch и Prefetch при обнаружении загрузки системы с SSD. Для SSD данные технологии не представляют ценности и вовсе тормозят процессы запуска, излишними операциями. Если ОС автоматически для SSD не отключила данные компоненты, тогда читайте инструкцию ниже.

SuperFetch – это служба, которая предсказывает, какие приложения Вы будете запускать дальше, и предварительно загружает эти данные в память. Windows дает возможность пользователю изменить настройки или отключить SuperFetch и Prefetch, через реестр и службы ОС. Если Вы используете традиционный HDD, тогда эти функции отключать не рекомендуется.

Важно! Во избежание ошибок, сделайте резервную копию реестра или точку восстановления системы.

параметры enableprefetcher, enablesuperfetch в реестре

Откройте реестр Windows 7, 8,10. В реестре перейдите до раздела PrefetchParameters (путь внизу скриншота). Обратите внимание на 2 параметра EnablePrefetcher, EnableSuperfetch.

Кликните далее двойным кликом по EnablePrefetcher. В поле «значение» установите новый параметр.

Значения для EnablePrefetcher:

  • 0 – отключение;
  • 1 - Включение для запуска приложений;
  • 2 - Включение для запуска системы;
  • 3 - Включение для запуска приложений и системы.

изменение параметра enableprefetcher

По умолчанию задано значение 3, измените его на 0 или на 1, 2. После изменений кликните OK.

Значения для EnableSuperfetch:

  • 0 – отключение;
  • 1 - Включение для загрузочных файлов;
  • 2 - Включение для приложений;
  • 3 - Включение для загрузочных файлов и приложений.

Теперь Вы знаете, что за папка Prefetch, можно ли удалить и какие компоненты ОС ей управляют. Содержимое папки лучше не трогать, она обслуживает сама себя, нет необходимости участия пользователя. На HDD лучше не отключать функции SuperFetch и Prefetch, это замедлит систему в целом.

Читайте также: