Artefakt
UserAssist (ROT13 Registerartefakt)
Registerposter i NTUSER.DAT som krypteras med ROT13 och loggar program som startats via Windows GUI med körtid och räknare.
🔬 Forensisk Betydelse & Utredningsmetodik
Bevisar att ett visst program körts interaktivt av en inloggad användare i Windows Utforskaren (kontra bakgrundstjänster).
⚙️ Tekniska Parametrar & Verktygsstöd
- Filsystemsplacering (på undersökt media):
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist (på undersökt system) - Forensiska verktyg: Registry Explorer ↗ UserAssistView