用途：解析 Windows Prefetch（.pf）文件，重建应用程序执行时间线，识别可疑程序、被重命名或伪装的可执行文件，辅助安全事件调查、威胁狩猎与检测规则构建。
主要能力：提取可执行文件名、运行次数、最后执行时间戳、加载的 DLL 与访问的目录/卷信息；通过对比可执行文件名与加载资源发现重命名或伪装二进制；标记已知攻击工具（如 mimikatz、psexec 等）与异常执行模式；按时间顺序重建执行时间线；输出 JSON 报告，包含执行历史、可疑可执行文件、重命名二进制指标与时间线重建。
使用方式：需 Python 3.9+ 并安装 windowsprefetch 库（pip install windowsprefetch）；从目标系统 C:\Windows\Prefetch\ 收集 .pf 文件（支持版本 17-30）；理解 Prefetch 命名约定（EXECUTABLE-HASH.pf）。示例命令：python3 prefetch_analyzer.py --dir /evidence/Windows/Prefetch --output /analysis/prefetch_report。
适用场景：安全事件调查、SOC 分析流程、检测规则与威胁狩猎查询构建、验证相关攻击技术的监控覆盖。
限制：资料未提供该技能的具体实现代码、完整参数说明、性能与兼容性细节，也未说明收费、平台或效果保证；实际使用需自行准备 Prefetch 文件并确认环境满足前置条件。