Questão FC512177
Onde os peritos criminais podem buscar essas informações?
Auditoria de TI e Forense Computacional
FUNDATEC · 2017
Peritos criminais receberam para exame um equipamento com sistema operacional Windows sob a suspeita de que o criminoso tenha instalado um aplicativo espião oculto que captura dados do usuário. A equipe de investigação necessita saber o nome do executável, a quantidade de vezes que foi executado, a data e o horário em que foi executado pela última vez.
Onde os peritos criminais podem buscar essas informações?
- No Prefetch, geralmente gravado na pasta “C:\Windows\Prefetch”.
- Nos setores não alocados do disco, pois, como se trata de aplicativo espião oculto, deixa registros em setores ocultos do disco.
- Na pasta “%Drive%\%Recycled\INFO2”, se for Windows 98, ou na pasta “%Drive%\%SID%\INFO2”, se for Windows XP.
- Na chave de registro do Windows “HKEY_USERS.DEFAULT”, que contém registros da atividade do teclado, pois o aplicativo espião provavelmente era um Keylogger.
- Na chave de registro do Windows “HKEY_LOCAL_MACHINE\SAM.LOG”, que contém registros da atividade do teclado, pois o aplicativo espião provavelmente era um Keylogger.
Mostrar resposta e comentário
Gabarito
A
Comentário do professor
A pasta Prefetch (normalmente em C:\Windows\Prefetch) contém arquivos com extensão .pf gerados pelo Windows a cada execução de um programa. Esses arquivos registram o nome do executável, a quantidade de vezes que o programa foi executado e a data e horário da última execução, entre outras metadatas úteis para investigação.
Observação técnica: a funcionalidade existe desde o Windows XP e persiste em versões posteriores, embora o comportamento possa variar. Os arquivos .pf podem ser analisados manualmente ou com ferramentas forenses que extraem os timestamps e o contador de execuções.
Portanto, para obter o nome do executável, contagem de execuções e o último registro temporal, os peritos devem examinar os arquivos na pasta C:\Windows\Prefetch.
Conteúdo do catálogo FC Concursos · Atualizado em