Windows 7のUserAssistデータ

Windows 7のUserAssistデータ（バイナリ値）の構造が変ったということで、具体的にどんなバイナリデータになっているのかを参加者の皆さんで調べてみました。
まず、従来は 不明 4バイト+実行回数 4バイト+日時 8バイトの合計16バイトの構造だったわけですが、Windows 7 の UserAsssit*1 UserAssist では以下のような 72バイトで構成されたバイナリデータになっています。

00 00 00 00 09 00 00 00 0B 00 00 00 60 5B 03 00
00 00 80 BF 00 00 80 BF 00 00 80 BF 00 00 80 BF
00 00 80 BF 00 00 80 BF 00 00 80 BF 00 00 80 BF
00 00 80 BF 00 00 80 BF FF FF FF FF 8B C7 73 D2
A7 1F CA 01 00 00 00 00

とりあえず、わかりやすい値からいくと、先頭不明 4バイトの次の4バイト(青色)が、従来と同じくプログラムの実行回数が保存されているようです。
逆に後から 4バイトは不明でその前にある 8バイト(赤色)は64bit Windows 時刻になっているので、EnCase のブックマークからデコードするなどすれば実行日時を確認することができます。

*1:sが一個多いのをスターで突っ込まれたー