윈도우 PF 파일이란? Prefetch 폴더의 역할과 내용 확인 방법

윈도우의 .pf 파일은 C:\Windows\Prefetch 폴더에 저장되는 프리페치(Prefetch) 기록입니다. Windows가 프로그램이나 시스템을 시작할 때 필요한 데이터를 미리 읽는 데 사용하며, 파일에는 프로그램 이름과 실행 시각 등 분석에 도움이 되는 정보도 들어 있습니다. 그러나 .pf 파일만으로 누가 프로그램을 실행했는지, 어떤 작업을 했는지 또는 그 프로그램이 안전한지는 알 수 없습니다.

Prefetch 폴더와 PF 파일의 역할

프리페치는 과거의 데이터 접근 양상을 참고해 필요한 데이터를 미리 불러오는 기능입니다. Microsoft는 Windows가 이전 시작 과정의 요청 패턴에 따라 메모리 페이지를 미리 읽어 시작 시간을 줄인다고 설명합니다. .pf 파일은 이러한 동작에 쓰이는 기록이므로, 문서나 사진처럼 사용자가 직접 여는 파일과는 용도가 다릅니다. 관련 배경은 Microsoft의 시스템 시작 성능 설명에서 확인할 수 있습니다.

일반적인 저장 위치는 C:\Windows\Prefetch입니다. 파일 탐색기 주소 표시줄에 이 경로를 입력하면 폴더를 확인할 수 있습니다. 접근 권한을 묻는 메시지가 나타나면 자신의 PC에서 내용을 확인하는 경우에만 진행하세요. PC의 설정이나 사용 방식에 따라 특정 프로그램의 .pf 파일이 보이지 않을 수도 있습니다.

PF 파일에는 어떤 정보가 들어 있나요?

PF 파일의 구성은 Windows 버전에 따라 다르지만, 파일 형식 분석 자료에는 실행 파일 이름, 실행 횟수 필드, 최근 실행 시각 필드, 관련 파일 경로와 볼륨 정보 등이 설명되어 있습니다. 최근 Windows의 PF 파일은 압축되어 저장될 수 있어 메모장으로 열면 읽을 수 없는 문자처럼 보이는 것이 정상입니다. 자세한 형식은 libscca 프로젝트의 PF 파일 형식 문서를 참고할 수 있습니다.

파일명은 보통 PROGRAM.EXE-12345678.pf처럼 실행 파일 이름 뒤에 해시값이 붙는 형태입니다. 여기서 해시는 파일을 구분하는 데 쓰이는 값이지, 보안 검사 결과나 디지털 서명을 뜻하지 않습니다. 파일명에 익숙하지 않은 프로그램 이름이 나타나더라도 그것만으로 악성코드라고 판단하지 마세요.

PF 파일 내용을 확인하는 방법

파일 이름과 크기 정도는 파일 탐색기에서 확인할 수 있지만, 내부의 실행 시각과 관련 경로를 읽으려면 PF 형식을 해석하는 도구가 필요합니다. 예를 들어 PECmd 프로젝트는 단일 PF 파일 또는 폴더를 분석하는 명령을 제공합니다. 공식 프로젝트에서 도구를 내려받아 사용하고, 출처가 불분명한 파일 분석 사이트에 개인 PC의 PF 파일을 업로드하지 않는 편이 안전합니다.

1. 파일 탐색기에서 C:\Windows\Prefetch를 열고 확인할 .pf 파일의 이름을 찾습니다. 분석 전에 원본을 수정하지 않도록 읽기 전용으로 다루세요.
2. PECmd를 준비한 다음 터미널에서 아래 명령을 실행합니다. 예시 파일명은 자신의 파일명으로 바꾸고, PECmd.exe가 있는 폴더에서 실행하거나 실행 파일의 전체 경로를 지정합니다.

PECmd.exe -f "C:\Windows\Prefetch\PROGRAM.EXE-12345678.pf"

폴더 전체를 분석하려면 다음과 같이 -d 옵션을 사용할 수 있습니다. 두 명령은 PECmd 사용 설명서에 제시된 형식입니다.

PECmd.exe -d "C:\Windows\Prefetch"

결과에서 실행 횟수와 시각, 관련 파일 경로를 각각 확인하세요. PF 내부 시각은 UTC 기반의 Windows 파일 시간 형식으로 저장되므로, 도구가 UTC로 보여 주는지 한국 표준시 같은 현지 시간으로 변환해 보여 주는지 확인해야 합니다. 분석 도구가 해당 Windows 버전의 PF 형식을 지원하지 않으면 결과가 비어 있거나 잘못 해석될 수 있습니다.

PF 파일을 삭제해도 되나요?

일반적인 PC 관리 목적으로는 Prefetch 폴더를 정기적으로 비우지 않는 것이 좋습니다. PF 파일은 시작 성능을 위한 기록이므로 삭제하면 기존 기록이 사라지고, Windows가 필요에 따라 다시 기록을 만들 수 있습니다. 따라서 폴더를 비우는 것은 프로그램 제거 방법도, 악성코드 검사 방법도 아닙니다. 용량 문제나 특정 오류를 해결하려는 경우라면 먼저 실제 원인을 확인하세요.

또한 PF 파일이 없다는 이유만으로 “해당 프로그램이 실행된 적이 없다”고 결론 내릴 수 없습니다. 기록 생성 여부와 보존 상태는 환경에 따라 달라지고, 파일은 삭제되거나 교체될 수 있습니다. 반대로 PF 파일이 있다는 사실만으로 실행한 사용자, 실행 목적, 실행 후의 구체적인 동작까지 확정할 수도 없습니다. 보안 사고를 조사한다면 PF 파일은 여러 단서 중 하나로 취급하고 다른 로그와 원본 실행 파일도 함께 확인해야 합니다.