جهازك يتذكر البرامج التي فتحتها! حقيقة مخيفة عن سجلات ويندوز المخفية

هل تعلم أن جهاز الكمبيوتر قد يحتفظ بمعلومات عن البرامج التي استخدمتها، حتى بعد إلغاء تثبيتها؟ هذه ليست نظرية، بل إحدى الوظائف المرتبطة بنظام Prefetch في ويندوز. توجد هذه الملفات عادةً داخل المسار: "C:\Windows\Prefetch" وتحمل امتداد PF، وتُنشأ بهدف تسريع تشغيل البرامج من خلال تسجيل بعض الملفات والمكونات التي يحتاج إليها البرنامج أثناء بدء التشغيل. لكن فائدتها لا تتوقف عند تحسين الأداء؛ إذ يمكن لمحللي الأدلة الجنائية الرقمية الاستفادة منها لمعرفة ما إذا كان برنامج معين قد شُغّل، وعدد مرات تشغيله، وبعض توقيتات التشغيل السابقة. في إصدارات ويندوز الحديثة، يمكن أن تحتوي ملفات Prefetch على معلومات عن آخر ثماني مرات تشغيل، إلى جانب بيانات أخرى مرتبطة بالبرنامج والملفات التي تعامل معها أثناء بدء التشغيل. وهنا تظهر أهمية الموضوع من منظور الخصوصية الرقمية: قد تظل بعض السجلات موجودة حتى بعد حذف البرنامج، ما لم تُستبدل أو تُحذف بآليات النظام أو أدوات التنظيف. هل يجب حذف هذه الملفات؟ ليس بالضرورة! فهي جزء من آلية تحسين أداء النظام، وحذفها باستمرار قد يؤدي إلى إعادة إنشائها وفقدان بعض فوائدها. الأهم هو فهم أن جهازك قد يحتفظ بآثار استخدام أكثر مما تتوقع، وأن هذه الآثار قد تكون مفيدة أيضاً في التحقيقات الأمنية واكتشاف الاستخدام غير المصرح به. المصدر: Microsoft Security – Leveraging Windows Internals for Forensic Investigation cdn-dynmedia-1.microsoft.com