Вижу, тут много сложной инфы про артефакты, но мне бы проще: типа, Event Log — где нотируют кто и когда заходил; Prefetch — что запускали; MFT — инфа про файлы с датами; реестр — что прописали на автозапуск; Amcache — что и как запускалось. Короче, надо все это вместе смотреть, чтобы понять, что реально произошло. А то по одному файлу особо не разберёшься, это как пазл с кучей деталей.