SANS ポスター：Windows Artifact Analysis(21) UserAssist

Program Execution カテゴリの最初に出てくるのが UserAssist になります。GUIベースのプログラムに関する実行履歴が、各ユーザーの NTUSER.DAT ファイル内に記録されていますので、その内容を確認する事になります。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist

ポスターに詳細が記載されていますが、Windows 7 では GUID によって実行ファイル拡張子なのか、ショートカットなのかキーが分かれています。

レコードによっては、GUID に続いてプログラム名が記載されている場合があります。

例）{7C5A40EF-A0FB-4BFC-874A-C0F2E0B9FA8E}\Microsoft Office\Office12\EXCEL.EXE

この場合、GUIDがどのパスかを確認する必要が出てきますが、この GUID 値については、マイクロソフト社の下記 KB で値のリストを確認することが出来ます。

例えば 7C5A40EF- は ProgramFilesX86 である事が確認できます。（KBに記載がない番号もありますが）

ProgramFilesX86
7C5A40EF-A0FB-4BFC-874A-C0F2E0B9FA8E

@port139 Blog