SRUM vs Prefetch vs Amcache : quel artefact d'exécution utiliser

Trois artefacts, trois choses différentes prouvées. Choisir le mauvais pour la question fait perdre du temps et laisse le rapport défendable uniquement sur les éléments que les deux autres auraient cloués froidement. La version courte : Prefetch est votre enregistrement récent à la seconde, SRUM est votre enregistrement longue portée avec attribution utilisateur et octets, Amcache est votre hash binaire plus preuve de présence. Ils se corroborent ; ils ne se substituent pas.

Côte à côte

Quand SRUM est le bon outil

Les questions auxquelles seul SRUM répond proprement :

• Quel compte utilisateur a lancé cet outil ? Prefetch et Amcache ne peuvent pas attribuer par utilisateur. Le UserId de SRUM se résout en SID via SruDbIdMapTable.
• Combien de données le processus a-t-il envoyées ? Seule Network Data Usage a des compteurs d'octets par processus.
• Cela a-t-il tourné à plusieurs reprises sur le dernier mois ? SRUM garde 30-60 jours plus une jumelle LT. Prefetch sur un hôte chargé a probablement roulé en jours.
• L'appareil était-il sur secteur ou batterie quand cela a tourné ? Energy Usage donne le contexte d'état d'alimentation, ce qui est parfois la différence entre "a tourné au bureau" et "a tourné dans un café".

Quand SRUM n'est pas le bon outil

• Seconde exacte de l'exécution la plus récente. Les slots LastRunTime .pf de Prefetch : 8 dernières avec précision à la seconde.
• Hash du binaire à comparer à de la threat-intel. Le SHA1 Amcache est le bon pivot.
• Serveur avec Prefetch désactivé et SRUM aussi rance. L'InventoryApplicationFile d'Amcache survit là où rien d'autre ne survit.
• L'hôte a été éteint pendant des mois. SRUM ne tourne pas quand la machine est éteinte ; Amcache survit intact.

Le flux combiné

1. Amcache. Récupérer le SHA-1 du binaire et le LastWrite de InventoryApplicationFile (Appraiser a remarqué le fichier).
2. Prefetch. Extraire les horodatages précis pour les exécutions les plus récentes et le numéro de série du volume sur lequel il a tourné.
3. SRUM. Confirmer la récurrence longue portée, attribuer à un SID utilisateur, mesurer toute sortie réseau.
4. EVTX / Sysmon. Pour la corroboration en temps réel des créations de processus (Sysmon 1, EVTX 4688), voir triage EVTX.
5. Shimcache / RecentFileCache. Shimcache et RecentFileCache complètent le tableau des preuves d'exécution sur Windows plus anciens.

Un rapport qui corrobore l'exécution sur SRUM + Prefetch + Amcache tient. Un rapport qui s'appuie sur l'un des trois est une cible pour le contre-interrogatoire.

Un pivot traité

loader.exe suspect découvert dans \Users\suspect\AppData\Local\Temp\.

• Amcache → SHA-1 abc123…, LastWrite 2026-04-10 14:23 UTC.
• Prefetch → LOADER.EXE-XXXXXXXX.pf, LastRunTime 2026-04-10 14:23:18, six exécutions totales.
• SRUM Application Resource Use → six lignes pour l'AppId résolvant vers le chemin du loader, étalées sur le 10-15 avril, toutes sous le SID du suspect, toutes avec BackgroundCycleTime non nul.
• SRUM Network Data Usage → 78 Mo sortants sur le seau du 2026-04-12 21:00, réseau = haut débit mobile.
• USN / MFT → archive staged.zip écrite dans la même minute que le seau SRUM de 21:00.

Cinq artefacts, une histoire.

Pour aller plus loin

• Qu'est-ce que SRUM et pourquoi cela intéresse les analystes forensiques
• Utiliser SRUM dans une investigation forensique
• Tables SRUM expliquées