User Assist en Windows 7

Un rápido vistazo al registro de Windows 7 nos muestra que hay algunas cosas que dentro del sistema operativo de Microsoft no han cambiado mucho desde el Windows 2000 y sucesores. El menu contextual y las herramientas del registro son prácticamente las mismas, sin embargo el contenido del registro va cambiando poco a poco. En la entrada de hoy vamos a presentar una clave del registro que suele pasar desapercibida, el UserAssist:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist

Este registro es el encargado de almacenar estadísticas y datos del principal proceso de todo Windows. El explorer.exe, si echamos un rápido vistazo a su contenido:

El "nuevo" registro de Windows

Vemos que no entendemos nada, ¿por qué? Bueno, la respuesta es obvia: está cifrado. Microsoft utiliza el algoritmo rotativo ROT13, que lo único que hace es rotar 13 posiciones (podían ser 12 o 14, pero no), un cifrado débil que permite a cualquiera descifrar fácilmente esa clave. Con Windows 7 esto no ha cambiado, se sigue utilizando ROT13 aunque si hubo algún cambio, concretamente en el formato. Por suerte hay gente como el belga Didier Stevens que ya se ha puesto a hacer Ingeniería Inversa para averiguar qué clave ROT13 hay que utilizar y en qué formato se guardan los registros, podeis encontrar más información aquí, y no solo eso, también se han currado una herramienta para descifrar vuestras claves y saber qué programas son lanzados por el explorador, cuando fue la última vez que se lanzó, etc. Por tanto viene muy bien no solo para satisfacer vuestra curiosidad, sino como herramienta de apoyo de análisis forense en Windows:

Interfaz del User Assist: Ultimo programa ejecutado, User Assist

Incluye datos sobre el tiempo que una aplicación tiene el foco, ultima vez que se ejecutó, número de veces ejecutadas y ,,,, la habilidad de con un click deshacer este registro de vuestras actividades (pone a 1 el valor de no logging en el la entrada UserAssist).

Los secretos de W7 van saliendo a la luz,,, ¡Salu2!