Questão 2492368

• Banca: FUNDATEC
• Órgão: IGP-RS
• Ano: 2017
• Provas: FUNDATEC - 2017 - IGP-RS - Perito Criminal - Computação Forense
• Disciplina: Criminalística
• Assuntos: Computação Forense

Peritos criminais receberam para exame um equipamento com sistema operacional Windows sob a suspeita de que o criminoso tenha instalado um aplicativo espião oculto que captura dados do usuário. A equipe de investigação necessita saber o nome do executável, a quantidade de vezes que foi executado, a data e o horário em que foi executado pela última vez. Onde os peritos criminais podem buscar essas informações?

• A. No Prefetch, geralmente gravado na pasta “C:\Windows\Prefetch”.
• B. Nos setores não alocados do disco, pois, como se trata de aplicativo espião oculto, deixa registros em setores ocultos do disco.
• C. Na pasta “%Drive%\%Recycled\INFO2”, se for Windows 98, ou na pasta “%Drive%\%SID%\INFO2”, se for Windows XP.
• D. Na chave de registro do Windows “HKEY_USERS.DEFAULT”, que contém registros da atividade do teclado, pois o aplicativo espião provavelmente era um Keylogger.
• E. Na chave de registro do Windows “HKEY_LOCAL_MACHINE\SAM.LOG”, que contém registros da atividade do teclado, pois o aplicativo espião provavelmente era um Keylogger.

Gabarito: A

Comentários

• Gabarito A

  Quando você executa um programa, ele faz: Processamento e Carregamento do disco e etc.

  Na primeira inicialização do programa, o Windows vai analisar mais ou menos em 10 segundos quais arquivos o programa acessará marcando-os em um arquivo, na pasta PREFETCH. 
   

  
  O resultado de tudo isso é uma execução mais rápida dos programas.

  Além disso, o PREFETCH também é ativado na inicialização do Windows, ele rastreia os carregamentos de arquivos na inicialização, fazendo com que o sistema seja otimizado e que tenha arranque.

   

  Concluindo:

  O desfragmentador do Windows também pode utilizar as informações da pasta PREFETCH, para colocar os arquivos mais utilizados no momento do arranque, no início do disco, melhorando mais ainda o seu desempenho.

   

  "Retroceder Nunca Render-se Jamais !"
  Força e Fé !
  Fortuna Audaces Sequitur !

• HKEY_USERSContém todos os perfis de usuário ativamente carregados no computador. HKEY_CURRENT_USER é uma subchave de HKEY_USERS. HKEY_USERS é algumas vezes abreviada como "HKU."

   

  HKEY_LOCAL_MACHINEContém as informações de configuração específicas para o computador (para qualquer usuário). A abreviação dessa chave é geralmente "HKLM".

   

  https://support.microsoft.com/pt-br/help/256986/windows-registry-information-for-advanced-users