UserAssist Forensics

Définition

UserAssist est une clé de registre Windows stockée dans NTUSER.DAT sous Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{GUID}\Count. Elle enregistre automatiquement l'historique d'exécution des programmes lancés via l'interface graphique Windows (double-clic sur bureau, menu Démarrer, Explorateur), incluant un compteur d'exécutions et un timestamp de dernière exécution pour chaque programme. L'encodage ROT-13 des noms de programmes dans UserAssist était historiquement la première « obfuscation » rencontrée par les investigateurs débutants. En réalité, ROT-13 n'est pas du chiffrement mais un simple décalage alphabétique de 13 positions, facilement réversible. Les GUIDs des sous-clés correspondant aux différents types d'entrées varient selon la version Windows : {CEBFF5CD...} pour les exécutables, {F4E57C4B...} pour les raccourcis. Les informations enregistrées par UserAssist incluent le nombre d'exécutions (focus count), le temps de session (en secondes) pour les applications GUI, le timestamp de dernière exécution (valeur FILETIME Windows), et dans certaines versions, le focus time. Ces données permettent de distinguer une seule exécution d'un outil malveillant d'une utilisation répétée, et d'établir précisément quand une application a été utilisée pour la dernière fois. La corrélation avec d'autres artefacts est essentielle. UserAssist ne capture que les exécutions via l'interface graphique, pas les exécutions depuis la ligne de commande, les scripts ou les services. Les exécutions en ligne de commande sont mieux tracées par ShimCache, AmCache, Prefetch, et BAM/DAM. Un programme présent dans ShimCache mais absent de UserAssist a probablement été exécuté silencieusement (malware, script). Les GUIDs dans UserAssist permettent également de déduire comment un programme a été lancé : depuis le menu Démarrer, depuis le bureau, depuis l'Explorateur, ou via un raccourci. Cette contextualisation peut être utile pour distinguer une utilisation normale d'une utilisation suspecte.