01Konum
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{GUID}\Count
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\Settings (NoLog, NoEncrypt; absent by default)
02Yanıtladığı sorular
- Belirli bir kullanıcı Explorer üzerinden hangi program veya kısayolları başlattı?
- Her biri kaç kez ve en son ne zaman başlatıldı?
- Bir program doğrudan değil de bir kısayoldan mı başlatıldı?
03Biçim ve sürümler
| Biçim | Adları ROT-13 ile kodlanmış REG_BINARY değerler (yalnızca ASCII A–Z ve a–z döndürülür). Sürüm 3 verisi (2000–Vista) 16 bayt; sürüm 5 verisi (2008, 7, 8) 72 bayttır, çalıştırma sayısı 4. ofsette, son çalıştırma FILETIME değeri 60. ofsettedir. |
|---|---|
| Geçerli olduğu sürümler | Windows 2000 ve sonrası. {CEBFF5CD-ACE2-4F4F-9178-9926F41749EA} ve {F4E57C4B-2036-45F0-A9AB-443BCFE33D9F} GUID'leri Windows 7, 8 ve 10'da görülür; winreg-kb bunların sırasıyla yürütülebilir dosyaları ve kısayolları kapsadığını varsayar. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Value name | Başlatılan öğenin ROT-13 ile kodlanmış yolu veya tanımlayıcısı. |
| Number of executions | Hem sürüm 3 hem sürüm 5 verisinde 4. ofset. |
| Focus count / focus time (v5) | 8. ve 12. ofsetler; genellikle bu şekilde tanımlanır ancak winreg-kb bunları bilinmiyor olarak işaretler. |
| Last execution time | 8. (v3) veya 60. (v5) ofset; ayarlanmamışsa 0. |
| UEME_CTLSESSION | Öğe değerlerinden farklı yapıda oturum değeri. |
| Version | Her GUID anahtarındaki, veri biçimini (3 veya 5) belirleyen REG_DWORD. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Last execution time | FILETIME (UTC) | O öğenin Explorer üzerinden son başlatılması; ayarlanmamışsa 0. |
| Count key last written time | FILETIME (UTC) | Tek bir değere değil anahtarın tamamına uygulanır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her kullanıcının NTUSER.DAT dosyasını işlem günlükleriyle birlikte yükleyin.
- GUID alt anahtarlarını listeleyin, Version değerini okuyun ve değer adlarını ROT-13 ile çözün (NoEncrypt ayarlı değilse).
- Sayıları ve son çalıştırma zamanlarını veri sürümüne göre ayrıştırın.
- Prefetch, BAM, Jump List ve LNK dosyalarıyla ilişkilendirin.
07Yorum tuzakları
- Yalnızca Windows Explorer üzerinden başlatılan programlar kaydedilir; komut satırı veya hizmet başlatmaları kapsanmaz.
- Settings alt anahtarındaki NoLog ile kayıt, NoEncrypt ile ad gizleme devre dışı bırakılabilir.
- Sürüm 5'in bazı alanları resmi olarak belgelenmemiştir; bunları doğrulanmamış olarak raporlayın.
09Kaynaklar
- User Assist key libyal / winreg-kb · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14